あまり知られていない携帯でセッションを使う場合の重要な問題 - toytools log

意図しないセッションジャックの可能性 最近「プロペ。」というサービスを公開しました http://d.hatena.ne.jp/toytools/20080712 http://prope.in/ 開発中に携帯サイトでセッションを使う際に、意識して対策しておかないとまずい点に気づきました。 ネットでもこういった方法について触れられていることが無いので、この問題に対する対策を行っている場合は意外と少ないのではないでしょうか 問題点は、専用の対策を行っていなければユーザーが意識せずにセッションジャックを行ってしまう可能性です ユーザー【Ａ】がセッションID【１】がついたURLをブックマーク ユーザー【Ａ】がしばらくサイトを使わないことでセッションID【１】がサーバー側で破棄される ユーザー【Ｂ】がログインした際に、セッションID【１】が付与される サーバー側から見るとすでに破棄されたセッション