PHP PHP · 20 вопросов · ~55 мин · ⏱ Таймер 55:00 · Лёгкий ·

Сессии и cookie

Здесь проверяется жизненный цикл сессии: когда допустимо менять заголовки, зачем обновлять идентификатор и какие свойства cookie действительно снижают риск. Сценарии приближены к авторизации, выходу из аккаунта и параллельным запросам.

Отвечено: 0 из 20

⏱ --:--

💡 Инструкция: Выберите один ответ из пяти. Прослеживайте момент создания заголовка и изменение состояния сессии. На тест отведено 55 минут.

Вопрос 1 из 20

Что нужно сделать до обращения к $_SESSION в обычном запросе?

session_start();
$_SESSION['user_id'] = 42;

Создать $_SESSION как локальную переменную Вызвать setcookie() после echo Обязательно вызвать ob_end_flush() Подключить PDO Вызвать session_start() до вывода тела ответа

Вопрос 2 из 20

Почему второй AJAX-запрос того же пользователя может ждать завершения первого?

session_start();
$user = loadUser($_SESSION['user_id']);
sleep(5);
echo json_encode($user);

$_SESSION запускает глобальную транзакцию базы Браузер не открывает параллельные соединения к одному origin при AJAX PHP-FPM последовательно обслуживает все запросы, содержащие одну cookie Файловый обработчик держит блокировку сессии до её закрытия Cookie передаются лишь по очереди

Вопрос 3 из 20

Что делает session_write_close()?

Удаляет сессию и cookie Немедленно завершает PHP-процесс Перенаправляет на страницу выхода Записывает сессию и освобождает её блокировку Запрещает читать уже загруженный массив

Вопрос 4 из 20

Что выведет код, если в загруженной сессии ключ count ещё отсутствует?

session_start();
$_SESSION['count'] = ($_SESSION['count'] ?? 0) + 1;
echo $_SESSION['count'];

1 Возникнет ошибка записи в $_SESSION Случайный идентификатор null 0

Вопрос 5 из 20

Сценарий только читает роль пользователя, затем выполняет тяжёлый отчёт. Где уместно закрыть сессию?

Внутри setcookie() Сразу после чтения и проверки необходимых данных Закрывать не нужно никогда Перед session_start() Только после отправки последнего байта отчёта

Вопрос 6 из 20

Что хранится в типичной cookie PHPSESSID?

setcookie(session_name(), session_id(), [
    'secure' => true,
    'httponly' => true,
]);

Весь сериализованный массив $_SESSION Непрозрачный ID для поиска серверного состояния HTML страницы профиля Пароль пользователя Ключ шифрования базы данных

Вопрос 7 из 20

Какую строку следует добавить сразу после успешной проверки пароля, чтобы снизить риск фиксации сессии?

session_start();
if ($auth->check($email, $password)) {
    // Здесь нужно сменить идентификатор сессии.
    $_SESSION['user_id'] = $auth->userId();
}

session_reset() setcookie(session_name(), session_id(), ['httponly' => true]) session_write_close() session_regenerate_id(true) session_id(session_id())

Вопрос 8 из 20

Почему нельзя считать значение PHPSESSID идентификатором пользователя?

Это ID сеанса, а пользователя определяют по серверному состоянию Одна cookie принадлежит всем пользователям сайта PHPSESSID существует только в CLI Cookie всегда содержит только цифры Браузер шифрует её неизвестным ключом

Вопрос 9 из 20

Какой риск создаёт передача идентификатора сессии в URL?

URL автоматически становится недействительным Он попадает в историю, журналы и Referer Сессия перестаёт работать по HTTPS Идентификатор преобразуется в число PHP удаляет параметры после первого запроса

Вопрос 10 из 20

Что произойдёт после session_id($id), если session_start ещё не вызван?

session_id($_GET['sid']);
session_start();

Сессия немедленно запишется в базу Задаст ID для следующего session_start Функция всегда выбросит TypeError Переменная $id станет cookie без заголовка Будет создан новый пользователь

Вопрос 11 из 20

Что даёт HttpOnly для cookie сессии?

setcookie('session', $id, [
    'path' => '/',
    'secure' => true,
    'httponly' => true,
]);

Отправляет cookie только при обычной навигации, но не при fetch Делает cookie доступной только коду того же origin через document.cookie Запрещает обычному JavaScript читать cookie через document.cookie Разрешает чтение cookie только JavaScript администратора Полностью предотвращает XSS и любые действия внедрённого скрипта

Вопрос 12 из 20

Какое назначение атрибута Secure?

Скрыть cookie от PHP Запретить срок действия Разрешить доступ только локальному хосту Отправлять cookie только по защищённому HTTPS-соединению Автоматически подписать значение

Вопрос 13 из 20

Как SameSite=Lax обычно влияет на кросс-сайтовые запросы?

Ограничивает cookie в межсайтовых запросах, сохраняя обычный переход Полностью заменяет CSRF-токен в любой архитектуре и браузере Запрещает переходы по обычным внешним ссылкам вместе со всеми подзапросами Разрешает отправлять cookie только JavaScript-коду страницы Преобразует кросс-сайтовый POST в безопасный GET-запрос

Вопрос 14 из 20

Что означает Path=/account для cookie?

Cookie хранится в каталоге сервера /account Она действует только для пользователя account Браузер отправляет её только путям, подходящим под /account Путь шифрует значение Cookie доступна только файлу account.php

Вопрос 15 из 20

Как задать защитные параметры сессионной cookie до запуска?

session_set_cookie_params([
    'secure' => true,
    'httponly' => true,
    'samesite' => 'Lax',
]);
session_start();

Отправить один заголовок Accept-Cookie Вызвать ini_set после отправки тела session_set_cookie_params, затем session_start Записать атрибуты в $_SESSION Добавить их к значению PHPSESSID через точку

Вопрос 16 из 20

Как работает атака фиксации сессии?

session_id($_GET['sid'] ?? '');
session_start();

if ($credentials->valid()) {
    $_SESSION['user_id'] = $user->id;
}

Жертва входит с заранее известным атакующему ID Cookie истекает раньше срока Пользователь открывает две вкладки Атакующий угадывает пароль перебором хешей в браузере Сервер случайно меняет идентификатор слишком часто

Вопрос 17 из 20

Почему одной проверки IP-адреса недостаточно для защиты сессии?

IP является постоянным секретом пользователя и не может совпасть у разных людей Сессии PHP не поддерживают клиентов с IPv6-адресами Сервер никогда не получает адрес клиента или доверенного прокси PHP сравнивает IPv4 и IPv6 только после приведения адреса к int IP меняется и может быть общим у многих клиентов

Вопрос 18 из 20

Что должен сделать выход из аккаунта?

Только перенаправить на главную Только удалить локальную переменную user_id Показать сообщение без изменения сессии Удалить серверную сессию, cookie и текущую авторизацию Сохранить роль guest в старой сессии навсегда

Вопрос 19 из 20

В приложении роль пользователя повысили до администратора. Какое действие обязательно рассмотреть?

Увеличить срок cookie до года, чтобы новая роль сохранилась дольше Регенерировать идентификатор сессии при смене уровня привилегий Скопировать текущий идентификатор сессии в localStorage для резервирования Отключить HTTPS, чтобы административная cookie была доступна всем узлам Записать роль в GET-параметр и проверять её на каждом маршруте

Вопрос 20 из 20

Почему код уязвим?

session_id($_GET['sid'] ?? '');
session_start();
if (checkPassword($_POST)) {
    $_SESSION['user'] = 42;
}

Он принимает идентификатор из запроса и после входа не меняет его $_SESSION не поддерживает строки session_start нельзя вызывать после session_id Пароль нельзя проверять внутри if Значение user обязано быть объектом

Ответьте на все 20 вопросов, чтобы получить результат

🔗 Встроить тест на свой сайт (iframe) ▼

Скопируйте код и вставьте в любое место на вашем сайте:

Также доступна прямая ссылка на embed-страницу