Понадобилось сделать авторизацию и возник вопрос о сессиях.
 Тут на форуме хорошо описано как проверять и защищать авторизацию. Про инъекции,  важность проверки всего и вся, но наверное вопрос о том как создаётся и записывается в куки id сессии как-то опущен, наверное за своей элементарностью.
 Если это всё как-то делается автоматом, то как сделать так чтобы остальные данные сесси (id пользователя например) не сохраняли на его компе.
 В скрипте будет использоваться для сохранения данных MySQL.
  

Какой автомат, там в пхп коде это делаешь, сейчас опишу

идентификатор сессии генерируется при помощи генератора псевдослучайных чисел, не гарантирует уникальность в пределах, скажем, суток, но вероятность коллизии идентификаторов столь мала, что её можно не учитывать. А никакие данные кроме номера сессии "автоматически"(строго говоря, надо всё же вызывать session_start() вручную) в куки не записывается. Всё то, что ты напихаешь в массив $_SESSION хранится на сервере, потому не может быть получено иначе как 
так что если ты не делаешь явно 
то данные про ИД пользователя локально никак не сохранятся.

мдя... опоздал

skyboy

Только один вопрос:

Посему это нельзя ИД в куки прописать?

a

session.use_only_cookie = 1

Правда, если юзер запртил прием/передачу

То это уже на фиг не нужно

Тогда уже приходится к GET и POST

А там уже инъекции

skyboy, спасибо.
Немного дополню - получить ИД сессии можно  с помощью: session_id()



Вообще-то, skyboy написал, что можно записать, только это вручную делается. ;)

тогда извиняюсь

на всякий случай уточню: я понимаю под "ИД пользователя" и "идентификатором сессии" разные вещи.

Добавлено через 4 минуты и 3 секунды

"Инъекции - они в головах"(немного перефразировано)
Если экранировать, где надо; обрезать - где надо и вести контроль, никаких инъекций быть не может.
А если ставить use_only_coockie - то и правда, людям без/с отключенными куками сложновато будет.

вопрос: а зачем?
разве что - чтоб потом авторизация не нужна была, но ведь ты так ратовал за безопасность...
Или чтоб во время сеанса хранить какие-то межскриптовые переменные? Так есть массив $_SESSION - в пределах одной сессии(сеанса работы)  там можно хранить что угодно - от "примитивов" до объектов. В привязке именно к конкретному пользователю.