Zugriff auf Session-Daten des Servers

[css_chaos]

Hallo und frohe Ostern!
Ich informiere mich gerade über Sessions informiert und darüber, wie die Session-Daten auf dem Server gespeichert werden. Anscheindend ist es möglich, dass Fremde auf diese Daten zugreifen kann. Allerdings verstehe ich nicht ganz, wie das möglich sein soll und wie man sich dagegen schützen kann. Ich habe irgendetwas gelesen, dass der Ordner für die temporären Dateien /tmp unsicher sein soll. Würde es helfen, wenn ich session.save_path auf einen von mir erstellten Ordner außerhalb des Root-Verzeichnises lege, denn da kann ja niemand fremdes zugreifen? Hat jemand eine Lösung für das Problem, oder habe ich da einen Gedankenfehler?

Schon mal vielen Dank:)

 

[threadi]

/tmp liegt i.d.R. bereits außerhalb des Verzeichnisses auf den Nutzer vom Web auf zugreifen können.

 

[css_chaos]

Das schon. Wenn allerdings mehrere Leute einen Server nutzen, was bei einem gemietetem Webspace (so habs ich verstanden) der Fall ist, nutzen alle den gleichen temporären Ordner und dann ist es angeblich so, dass /tmp unsicher für Sessions ist. In diesem Fall hätte ich einen anderes "Session-Verzeichnis" erstellt, auf das nur ich Zugriff habe.

 

[threadi]

Das muss nicht zwingend das selbe Verzeichnis sein. Ein Server kann auch so eingerichtet sein, dass jeder vhost ein eigenes Verzeichnis mit dem selben Namen hat. Das kann auch /tmp sein. Ob das bei dir der Fall ist, kann dir nur dein Webhoster sagen. Wenn Du das Verzeichnis mit anderen teilst, dann wäre der von dir erdachte Weg durchaus eine gute Alternative.

 

[css_chaos]

Danke für die Hilfe. :)