Стоит ли внедрять SID в URL ?

Question

[Вадим Некрасов]

Если, например, я внедрю авторизованному пользователю id сессии(то есть id, подтверждающее авторизацию) в url, и, когда он перейдет по прямой ссылке на другой сайт, где у него украдут идентификатор сессии(если возможно) и будут делать запросы как авторизованные пользователи. Или же это используют только чтобы сделать что-то наподобие корзины в интернет-магазине?

Answer 1

[Алексей Николаев]

Если вы опасаетесь возможных проблем с безопасностью, стоит озаботиться защитой от подобного, например, считать переданный SID корректным только тогда, когда передан также и md5-зашифрованный ID самого пользователя. Пример не идеален, но суть одна и та же.

Собственно от передачи разнообразных параметров в url (в том числе и sid) я лично проблем не вижу, проблемы могут быть от недостаточной защищенности.