从PHP到Javascript到PHP的会话ID和令牌（xmlHTTPRequest）

Question

我目前正在使用Javascript通过xmlhttprequest发送文件的上载系统，但工作正常。 现在，我想将文件信息以及有关上载器的信息存储在数据库中。 用户必须登录才能上传文件。 因此，我将所有登录的成员存储在自己的表中（id，user_id，session_id，令牌）。

现在我的问题是我必须以某种方式确定上载者信息的用户名。 我当前的解决方案是这样的：

var fd = new FormData();
 fd.append("file", document.getElementById('file').files[0]);
 fd.append("user", {{username}});
 var xhr = new XMLHttpRequest();
 xhr.open("POST", "/upload/local/handleUpload.php");
 xhr.send(fd);

我正在使用树枝模板系统来呈现模板文件（{{username}}是php脚本发送的用户名）

现在，我知道用户名可以轻松更改为其他名称。 这就是为什么我要确保在“ logged_in”表中有一个使用此用户名和此session_id的用户。

我的第一种方法是仅附加用户的当前session_id并将其发送。

fd.append("session_id", {{session_id}});

但这是我的问题：这是一种“安全”的方式吗？ 或者我应该如何处理呢？ 我感谢我所能提供的一切帮助！

非常感谢！

Answer 1

无需发送会话ID，因为无论如何都会发送会话cookie。 为了确保用户存在， handleUpload.php必须对照数据库表检查会话。