ID de sessions

Référence sur drupal.org : 25 Janvier 2007 – 10:58 - http://drupal.org/node/101499

Les sessions PHP permettent de conserver des données durant la visite d’un utilisateur. Lorsqu’un internaute accède à votre site, un identifiant unique lui est assigné, l’ID de session. Côté internaute, cet ID est stocké dans un cookie et est envoyé à votre site à chaque requête de page.

Drupal enregistre les ID Utilisateurs dans la base de données. A chaque accès à une page, Drupal reçoit l’ID de session envoyé par la navigateur de l’internaute. Il cherche alors l’ID dans la table session pour trouver l’internaute associé. Cet ID Utilisateur sert à établir les droits que l’internaute a sur le site.

Pour conserver la sécurité de ce système, il est impératif de garder l’ID de session confidentiel. Si vous écrivez une module, vous ne devrez jamais rendre ces ID publics. Ils pourraient être lus par des utilisateurs et permettre le détournement des sessions.

Faites attention au fait que, même si votre sortie n’est pas affichée, si elle fait partie d’une requête AJAX par exemple, elle peut néanmoins être vue si l’utilisateur utilise un sniffer comme WireShark ou Fiddler.