세션 시작시 이상한 점 하나.

[kijin]

현재 버전의 Context.class.php를 보면 324~328줄에 아래와 같은 코드가 있습니다.

session_start();
if($sess = $_POST[session_name()])
{
    session_id($sess);
}

이거 이상하지 않나요?

1. 공식 매뉴얼에 따르면 session_id() 함수는 반드시 session_start() 함수보다 먼저 사용해야 합니다. 세션이 이미 시작된 후에 사용할 경우 아무런 효과도 없습니다.
2. 만약 효과가 있다면 CSRF를 통한 session fixation 공격에 노출될 수 있으므로 오히려 더 큰 문제가 될 수 있습니다.

커밋 히스토리를 뒤져보니 2011년에 파일 업로드 관련 디버깅을 위해 추가된 코드 같습니다. 플래시 일부 버전의 버그 때문에 파일 업로드시 세션 쿠키가 제대로 전달되지 않던 시절이죠. 그러나 그 때도 이 코드가 정상 작동했는지는 의문입니다. 위에 말씀드린 것처럼 세션이 이미 시작된 후에는 아무 효과도 없거든요.

코어 개발자님들의 점검을 부탁드립니다.

[ghost]

56567bb