会话ID作为外键（安全？）[重复]

Question

我想使用会话 ID 来更新我的数据库中的特定条目（作为外键）。

会话 ID：

$_SESSION['id'] = '1';

PDO

$sql = "UPDATE table_user set f_name = :f_name, l_name = :l_name where id = :id and fk_user = {$_SESSION['id']}";

这种方法可以安全操作吗？这对我来说似乎有点弱，但我从未使用会话 ID 作为外键。任何建议都非常受欢迎。 如果这个问题不好，我很抱歉。

Answer 1

它不安全。

为什么你对其他值使用参数而不使用参数作为会话ID？

$sql = "UPDATE table_user set f_name = :f_name, l_name = :l_name where id = :id and fk_user = :session_id";

Answer 2

$_SESSION['id'] 只是将新属性 id 设置为提供的值，您没有使用会话 ID 本身。如果要获取会话 ID，只需使用session_id()。

我假设您希望此 ID 可用于多个页面，这就是您将其保存在会话中的原因，这没有任何问题。