Sind sessionvariablen für besucher lesbar???

[EKKi]

Mahlzeit LSpreee,

ich frage mich gerade aus Sicherheitsgründen, ob sich Benutzer irgendeines Browsers und irgendeiner Plattform die $_SESSION-Variablen, die gerade belegt sind, ausgeben lassen können.

Nur, wenn sie es irgendwie schaffen, entsprechenden PHP-Code auf dem Server auszuführen.

Es geht mir um die Sicherheit von Passwörtern. Diese Passwörter möchte ich nämlich nicht einfach in einem hidden-Feld durchschleifen.

Das solltest Du in der Tat NIEMALS tun. Genausowenig solltest Du allerdings Passwörter in einer Session hinterlegen - wozu? Du prüfst an genau EINER Stelle (bzw. durch genau EINE Funktion, die Du dann an den benötigten Stellen aufrufen kannst), ob eine gegebene Benutzer-Passwort-Kombination korrekt ist und merkst Dir dann in der Session, dass Benutzer "Sowieso" eingeloggt ist. Wozu brauchst Du dann anschließend dessen Passwort in der Session?

MfG,
EKKi