Bom eu tenho uma página principal index.php onde a pessoa executa uma ação e realiza uma requisição POST com Ajax. Neste arquivo principal eu crio uma sessão com alguns dados que eu quero manter mais seguros e não ficarem visíveis e outros para confirmações.
Exemplo: index.php
<?php
// exemplo da sessão
$_SESSION['EXAMPLE'] = [
'token' => '123456abcExample',// SEMPRE UM NOVO E ÚNICO TOKEN É GERADO AO CARREGAR A PÁGINA index.php
'other' => 'stringEtc'
];
?>
...
<script>
// exemplo da requisição ajax - no mesmo site
// página "http://example.com/url/index.php" e a outra "http://example.com/url/request.php"
$.post('http://example.com/url/request.php', {
'example' => 'string',
'token' => $_SESSION['EXAMPLE']['token']
}, function (response) {
// code
}, 'json');
</script>
Tem uma segunda página request.php, para onde mando a requisição ajax com retorno JSON. Nessa segunda página eu faço uma verificação se o token da sessão é o mesmo que foi passado para a requisição AJAX, e apenas sendo o mesmo para continuar o código.
Exemplo: request.php
<?php if ($_SESSION['EXAMPLE']['token'] == $_POST['token']) {...}
Porém, na segunda página o token da sessão chega diferente do que era antes. Vamos dizer que na página principal "index.php" o token criado na sessão fosse "12345abcExampleToken", também é passado pro data do AJAX igualmente, porém na segunda página ele chega como "789452hjkhToken", ou seja outro totalmente diferente, como se a index.php tivesse sido iniciada de novo e criado um novo token.
Bom, eu gostaria de saber por que isto pode está acontecendo. E se houver uma solução mais segura ("se esta maneira que estou utilizando é realmente segura"), por favor poderia me compartilhar?
Nota - Edição: O token é gerado através de uma função de Classe Estática, achei bom informar, em caso de isto ter algo haver!
class Example
{
public static function getToken(): string
{
return 'createToken';
}
}
e eu uso assim na sessão:
$_SESSION['EXAMPLE'] = [
'token' => Example::getToken(),
'other' => 'stringEtc'
];
botão direito
seguido deInspecionar
. Regra geral isso corresponde aoF12
na maior parte dos navegadores. Nessa janela de inspeção o separador de Rede(Network) costuma ser o 3º no Chrome, e apresenta todos os pedidos que foram feitos e mostra os dados enviados/recebidos. Basta clicar em qualquer um para ver a informação especifica desse pedido.