$_COOKIE i serialize/unserialize Opcje

[gothye]

witam
zapisuję tablicę do $_COOKIE za pomocą serialize :

[PHP] pobierz, plaintext 
$tablica = array('dana' => 'wartosc' , 'inna' => 'cos innego');
 
setcookie('section', serialize($tablica), time()+86400);
 
// test ,widze ze zaspisuje i $_COOKIE istnieje
print_r($_COOKIE);
 
[PHP] pobierz, plaintext 

potem chcę użyć unserialize :

[PHP] pobierz, plaintext 
$odczyt = unserialize($_COOKIE['section']);
[PHP] pobierz, plaintext 

ale niestety nie działa (IMG:style_emoticons/default/sad.gif)

[Zyx]

A ja bym w ogóle zrezygnował z serializowania zawartości ciastek. Jest to format, który bezpośrednio odbija strukturę zmiennej PHP na zapis tekstowy, zatem w szczególności można go tak spreparować, by podszyć się pod dowolny typ danych, w tym także - obiekty klas naszego systemu. W poniższym linku jest opisane, jak zaatakować aplikacje oparte na Zend Frameworku w połączeniu z "frameworkiem bezpieczeństwa" PHP-IDS, który odserializowuje każde dane, które wyglądają na zserializowane:

http://www.sektioneins.com/en/advisories/a...lity/index.html

Lepiej zapisać te dane jako kilka ciastek lub stworzyć sesję, w której nigdy nie opuszczą one serwera, a klient dostanie jedynie unikalny identyfikator, który już jest dużo prościej chronić.