Sicherheit durch URL?

[Gumbo]

Dass die Sitzungs-ID so fix in der Adresse integriert ist, könnte sogar eher die Gefahr für Angriffe oder Missbrauchsversuche erhöhen. Denn je transparenter die Technik eines Systems, desto einfacher lassen sich Sicherheitslöcher finden. Am besten sollte nach außen gar nicht ersichtlich sein, was intern passiert.

 

[Dennis Wronka]

Dass die Sitzungs-ID so fix in der Adresse integriert ist, könnte sogar eher die Gefahr für Angriffe oder Missbrauchsversuche erhöhen. Denn je transparenter die Technik eines Systems, desto einfacher lassen sich Sicherheitslöcher finden. Am besten sollte nach außen gar nicht ersichtlich sein, was intern passiert.

Das ist eben der Vorteil von Session-Cookies, die sind erstmal nicht so offensichtlich. Nur wenn man dann in die Cookie-Liste guckt stellt man fest, dass da ja die ganze Zeit was uebergeben wird.
Wie gesagt, keine Variante ist von sich aus wirklich sicher, dementsprechend muss da halt noch ein Script hinterstehen was da fuer hinreichend Sicherheit sorgt.