Cita:
Iniciado por german_1441 
Y si en el cliente se genera esa clave asociada al fichero que está en servidor, no es lo mismo?
Como?
Yo tengo el ID de sesion vmbrd66br8rsg83mssot159ie5, este ID esta asociado a un archivo que contiene el token obtenido por esta función:
Código PHP:
function generarToken() {
$cryptoStrong = true;
return bin2hex(openssl_random_pseudo_bytes(22, $cryptoStrong));
}
Como sabes tu mi id de sesión para poder enviar la cookie? Por cierto, en puntos claves se debería actualizar el ID para evitar session fixation y session hijacking. session_regenerate_id()...
Si lo puedes hacer podrás atacar practicamente cualquier sitio web, pruebalo ... pero te tienes que inventar el ID de sesion... Lo que tienes es el token que esta en el archivo del servidor pero no sabes el ID de sesión.
Imagínate, si tu puedes conseguir mi ID de sesion de mi banco, podrías operar. Tu cookie asignada por el banco lo cambias con este ID que es mio y listo, tienes acceso a mi cuenta bancaria ... El "único problema" es conseguir el ID.