security - パスワードハッシュをセッションキーに保存する

Question

ハッシュ化されたパスワードをセッションキーに保存する必要がある状況に遭遇しました。パスワードはbcryptを介してハッシュされました。

ハッシュ化されたパスワードをセッションキーに保存しても安全ですか？

ありがとうございました。

Answer 1

これは、セッションデータが保存されている場所と、そのストレージにアクセスできるユーザーによって異なります。

デフォルトでは、PHPはセッションデータをサーバー上の他のユーザーが読み取れる可能性のあるファイルに保存します。したがって、共有サーバーを使用している場合は、他のユーザーもセッションファイルにアクセスできる可能性があります。また、セッションデータは基本的に$_SESSION配列のシリアル化された形式であるため、物理セッションファイルにアクセスできる人は誰でもセッションデータの読み取りや書き込みを行うことができます。