php - マルチステップフォームと機密データの処理？

Question

現在、CodeIgniterアプリでマルチステップフォームを設定していますが、機密データを保持するため、設定するための最良の方法を考えています。現在、ajaxを使用して各ステップを検証してから次のステップにリダイレクトする5ページのフォームがあります。各ステップに「戻る」ボタンを含めました。フォームには、作成したdbセッションから入力したばかりのデータが入力されています。これが賢明なことかどうか疑問に思っていますか？または、ユーザーを苛立たせる可能性があるとしても、前のステップに戻れないように制限する必要があります。フォーム送信時にセッションを破棄しています。

前もって感謝します ：）

Answer 1

サーバーを完全に制御できることを前提とすると、PHPセッションは非常に安全です。ただし、セキュリティに関しては、安全な接続を介してのみAJAXを使用することをお勧めします。そうしないと、逆方向に送信されるすべてのものがプレーンテキストで読み取れるようになります。

PHPセッションとセキュリティを扱う際に注意すべき点がいくつかあります。

1. ディスク上のセッションファイルに正しい権限が付与されていることを確認してください。
2. ユーザーを認証するときはSSLを使用しますが、さらに重要なのは...
3. ...ユーザーがログイン/ログアウトするか、特権を取得するたびに、セッションIDを再生成します。
4. Cookieではなく、認証データをセッションに保存します。