Paramètre enregistré dans les données SESSION - sécurité?

Question

Je me demande comment sécuriser le code ci-dessous:

if ($username == $user->username && $password == $user->password) { 
    $_SESSION['loggedIn'] = true; 
    $_SESSION['userId'] = $user->userId; 
} 

En fait, aurait-il un moyen pour quelqu'un de simuler la variable de session (en plus de voler en fait un cookie utilisateurs)?

Answer 1

Ça me semble bien. Il suffit de ne pas stocker le mot de passe ou les données sensibles dans la session au cas où quelqu'un volerait l'identifiant de la session. Je crois que la plupart des risques de sécurité ont lieu en obtenant le mot de passe au serveur en toute sécurité.

De plus, vous devez au moins enregistrer votre mot de passe. Le faire (en supposant que $ utilisateur-> mot de passe est hashed en utilisant sha1) sha1($password) == $user->password