Cambio de ruta en sesiones

[alaintm]

Saludos a todos.

He estado leyendo sobre el trabajo con sesiones en PHP y como hacerlo de forma segura y me surge la duda si se puede modificar en un script PHP la ruta donde se almacenan las sesiones y proteger dicho directorio con .htaccess.

Agredesco de antemano su ayuda

[geq]

Normalmente no hay forma de acceder vía web a ese directorio...
En todo caso debe poder cambiarse en el php.ini

Saludos

[Ronruby]

geq tiene razon.
Normalmente las session se guardan en /tmp u algun otro directorio FUERA de el directorio web, asi que no hay nada de que preocuparse.

En todo caso la directiva que regula donde se guardan las COOKIES:
session.save_path = "C:\xampp\tmp"

[alaintm]

Mi preocupación es debido a que en la documentación que he consultado, se plantea que un usuarios malicioso puede emplear la sesión de otro y pense que si se protegía se pudiera evitar el ursurpamiento por parte de otros

[Ronruby]

Eso es si pasas el SESSION ID por URL.

Si utilizas COOKIES u algun otro metodo entonces no habra ningun tipo de inconvenientes.

[alaintm]

O sea si no paso el session_id por la url no tengo de que preocuparme?

[GatorV]

Verifica la directiva de session.use_only_cookies, siempre es importante hacer la mayor limpieza de las variables que vienen por URL, sean las que sean ya que si no las limpias eres vulnerable a ataques XSS.

Saludos.