Descobri o problema, que era uma das coisas que suspeitava mas achava que não era o problema.
Eu uso alguns softwares de teste de vulnerabilidades, embora eles não acusem erros eu comecei a achar que tais erros estavam relacionados à tais testes, porque os erros eram apresentados em "grande quantidade" após 2~3 horas dos testes serem iniciados, os testes são feitos em horários aleatórios!
O problema que descobri é relacionado à uso de caracteres "inválidos" como valor do cookie da SESSION
, isso causa o problema de leitura da SESSION
.
Testando o problema:
Se o cookie da sessão (por padrão tem nome de PHPSESSID
) tiver com um valor do tipo !@#$!%!@#$@#!!!#!#!@#%
ele será acusar o problema:
Unknown: Failed to write session data (files). Please verify that the current setting of session.save_path is correct (/tmp)
Para alterar o valor do cookie você pode usar a extensão de EditThisCookie.
Se quiser, pode usar o Javascript para alterar o cookie:
var nome = "PHPSESSID";
var valor = "!$!@$!@@#!@#!@#";
document.cookie = nome+"="+valor;
Correção:
Para causar o problema exige que algum curioso (sendo otimista) tenha alterado o valor do cookie usado para definir a sessão.
A correção que pensei foi a seguinte:
$sessao = "PHPSESSID";
if(isset($_COOKIE[$sessao]) && !preg_match('/^[A-Za-z0-9,-]+$/', $_COOKIE[$sessao])){
unset($_COOKIE[$sessao]);
}
session_start();
Isso seria uma solução genérica, não ideal.
Primeiro é saber exatamente quais caracteres seriam válidos, isso depende somente disto:
session.hash_bits_per_character = 5
Se for 4 irá ser de [a-f0-9]
.
Se for 5 irá ser de [a-v0-9]
.
Se for 6 irá ser de [A-Za-z0-9,-]
.
Leia a documentação em http://php.net/manual/en/session.configuration.php#ini.session.sid-bits-per-character
Segundo é o número de caracteres válidos, o PHP por padrão gera sessões de 26 caracteres, isso depende da COMBINAÇÃO dos seguintes valores:
session.hash_function = md5
session.hash_bits_per_character = 5
Essa combinação irá resultar na maior ou menor valor da sessão, logo precisará testar para alterar o número de caracteres do REGEX baseado no número de caracteres.
Leia a resposta em http://stackoverflow.com/a/17032075/3043018https://stackoverflow.com/a/17032075/3043018
No meu caso estou usando EXATAMENTE isto:
if(isset($_COOKIE['_sid']) && !preg_match('/^[a-v0-9]{52}$/', $_COOKIE['_sid'])){
unset($_COOKIE['_sid']);
}