More than 5 years have passed since last update.

CakePHPでsession_regenerate_id(true)を呼ぶ

Posted at 2014-05-13

環境

セッションアダプション、セッションフィクセイションの脆弱性対策として、ログイン後session_regenerate_id(true)でセッションIDを付け直すことが推奨されています。

CakePHPのフレームワークにそのような機能がないかと調べた結果、lib/Cake/Model/Datasource/CakeSession.phpにsession_regenerate_id(true)を呼んでいるrenewメソッドがあったので、これを利用することにしました。

SomeController.php

CakeSession::renew();

core.phpでSession.autoRegenerateオプション（CakeSession::$requestCountdownがリジェネレートリクエスト間隔）を有効にしてもいいですが、定期的に変更しなくても、ログイン時だけでいいので、この方法を使っています。

これでログイン時にセッションIDを付け直すことができました。今のところ副作用はないようですが、様子見です。