Comment ajouter le session ID dans les URLs ?

[redhad]

Bonjour,

Comment ajouter le session ID (CMSSESSID) dans toutes les URLs (menu, news .. etc) pour ne pas perdre la session ?
j'ai ajouté une brique qui utilise des infos stockées dans une session, mais à chaque clic sur une URL, la brique ne retrouve plus la session
vu que le session id n'est pas transmis .


merci.

[Pierre M.]

Mon opinion : ne pas bidouiller les URLs ; pour gérer les sessions, ça fait des années (internet) qu'on utilise les cookies volatils ; c'est un ajout sain au niveau du protocole HTTP, dans ses entêtes, et ça ne pollue pas les URLs. D'un point de vue sécurité, c'est mieux aussi, puisse que la barre d'adresses des navigateur n'enregistre pas les cookies mais enregistre les URLs.

Et bien sûr, si votre ajout fonctionne par cookie volatil, nul besoin de modifier le code de CMSms. Mais libre à vous de tenter d'introduire des bugs et de pourrir les URLs.

PM

[redhad]

merci PM pour ton avis, sans vouloir rentrer dans le débat des avantages et inconvénients des deux techniques  je voulais quand même savoir comment changer les URLs générées par CMSms pour y ajouter entre autres un ID de session.

[ceci dit, d'un point de vue sécurité, les cookies ne sont pas les mieux placés ]

[Pierre M.]

ceci dit, d'un point de vue sécurité, les cookies ne sont pas les mieux placés

Je ne parle que de cookies volatils. Et bien utilisés, lorsqu'ils correspondent à l'id SSL par exemple, je ne les trouvent en rien mal placés.
Je ne vois pas en quoi les URLs persistantes dans les barres d'adresses des navigateurs (et polluantes dans le code) seraient mieux placées qu'un mécanisme d'extension du protocole HTTP.

Sur http://www.php.net/manual/fr/ref.session.php je lis :
"session.use_only_cookies boolean Spécifie si le module doit utiliser seulement les cookies pour stocker les identifiants de sessions du côté du navigateur. En l'activant, vous éviterez les attaques qui utilisent des identifiants de sessions dans les URL."

Libre à votre brique de faire en toute autonomie ses (un)setcookie et autre iscookie sans bidouiller dans les URLs. Et le code PHP ne peut-il pas faire session_id() ou $_SESSION si tel est votre besoin ?

PM

[redhad]

En effet, le session_id() fonctionne, mais je ne savais pas où le mettre dans les URLs générées par CMSms (URLs des menus, news .. etc), d'où ma question..
Je me suis rendu compte que la brique redéfinissait le nom de la session et générait donc une autre session indépendante de celle de CMSms (qui a comme nom CMSSESSID). J'ai corrigé ce nom, et là plus besoin de modifier les URLs (et donc de les polluer ), la session est reconnue.

Merci.