spricht was dagegen eingene sessions-id erzeugen ??

[Philipp Hasenfratz]

Halihallo

angenommen, ich errate eine fremde Session-ID - kann ich dann einfach in deren Warenkorb hinein schreiben?

Da hast Du absolut recht, aber es kommt auch darauf an, woraus sich die Session-Id zusammensetzt. Wenn da zB u.a. auch der HTTP_USER_AGENT vercodet enthalten ist, oder sich die SessionId bei jedem Aufruf nach einem bestimmten Algorithmus ändert (d.h. in der DB die SessionId gespeichert wird, die als nächste vom Client erwartet wird), dann wird's schon schwieriger.

Meistens läuft es ja wie folgt:

Die SessionID nimmt z. B. linear zu (auto-increment Wert aus der DB), dazu wird ein SessionKey generiert (z. B. kombination aus Zeit, SessionID und meinetwegen einer kodierten "or" Operation mit HTTP_USER_AGENT und REMOTE_ADDR). Die SessionID, SessionKey und Sessiondaten werden dann in einer Tabelle gespeichert.
Somit ist der Zugriff auf Sessiondaten ganz einfach (SessionID ist ein Integer) und dennoch ist die Datensicherheit gewährleistet (durch den kryptographischen SessionKey).

Viele Grüsse

Philipp