Session::regenerateId – race condition

Nette Session se snazi zvysit bezpecnost session tim, ze jednou za cas pregeneruje session id. V tomto pripade ale muze nastat race condition, ktera prihlaseneho cloveka odhlasi, a to kdyz se sejdnou (alespon) dva spravne requesty ve spravnou dobu. Uvedu na prikladu…

Mejme 2 requesty A a B.

Mejme prikazy v prubehu zivota requestu

1 – browser odesila request

2 – volani Session::start()

3 – volani Session::regenerateId(), protoze ubehl timer

4 – prijeti odpovedi browserem.

Oznacme S1 (S2) puvodni (resp. nove) session id, ktere klient dostal. V session je ulozena promena user s id prihlaseneho uzivatele. Pomlcka znamena neexistujici session.

Kdyz nastane tato sekvence:

-- browser zacina s S1, ktere rika, ze je uzivatel prihlasen
 Akce       S1      S2        Komentar
  A 1     user=1    -         browser posila request s S1
  A 2     user=1    -         otevira se session
  A 3        -     user=1     regenerace, presun do noveho souboru
  B 1        -     user=1     browser posila druhy request s S1
  B 2     user=-   user=1     session neni, vytvori se; toto je error
  A 4     user=-   user=1     request konci se Set-Cookie: .. S2
  B 4     user=-   user=1     request konci se Set-Cookie: .. S1; toto je error
-- browser nyni pouziva S1, ktere rika, ze je uzivatel neprihlasen

Browseru to vyslo tak, ze request A prosel a akce se provedla. Request B neprosel a pravdepodobne zkoncil zobrazenim prihlasovaci stranky. Navic se uzivateli pod rukama smazala cela session.