$_SESSION

neverovatno...ubih se trazeci po php manual query mi nikako ne ide neko stavlja ' neko " neko ` neko dodaje . ...sve sam se pogubio...

Vidiš da php kaže Undefined variable: _SESION... da si čitao poruku o grešci video bi o čemu se radi...

video sam ja to ali sam mislio da je greska negde ispred, mislio sam da moram da definisem varijablu negde drugde...totalno sam prevideo to S :)

jedan savet: kao sto ne verujes user inputu,tako nemoj ni sesijama! stavi intval($_SESSION['user_id']) , nece ti naskoditi :)

A kako se moze sadrzaj sesije izmeniti (uhakovati?) do te mere da ne moze da se veruje sadrzaju u sesiji?
Jer ako ne moze verovati tome sto pise u sesiji slicno kao i user inputu, nekako dodje nelogicno oslanjati se uopste da je $_SESSION['user_id'] ispravan user koji ima odredjene privilegije i pristup nekim akcijama i podacima...
Znam da se sesija moze ukrasti, pa cak i session fajl da se moze izmeniti, ali ako se sesija ukrade, to je to, opet je taj podatak u sesiji verodostojan samo nije to taj korisnik koji fizicki sedi za kompom, a ako se pak session fajl izmeni na serveru (ili u bazi, gde god da se cuva) onda taj koji vec ima takav pristup serveru ima sigurno lakse nacine da dodje do toga sto uopste i trazi na serveru
Mislim, ja skoro pa slepo verujem da je sadrzaj sessije ono sto sam ja u "kontrolisanim" uslovima upisao u sesiju, a nisam se nesto upustao u istrazivanje po netu oko bezbednosti protiv nekih takvih hakova, kako se taj sadrzaj moze izmeniti?

Potpuno si ti u pravu dakipro, nisam ja to predlozio iz razloga jer moze neko da mu promeni podatke u sesiji(mada je i to moguce) , vec da bude siguran
da je predao integer u queryju na mesto gde se i ocekuje integer. Paranoja - nikad se ne zna.

Primer:

Scenario where attacker and victim shares the same PHP server.

Attack is fairly easy:

The attacker first visits the victim's page, and e.g. log on.
Attacker then uploads a PHP script to his account, and has it display context of $_SESSION (set by victim script).
Attacker determines which variable needs to be changed, uploads a script which sets this variable, executes it.
Attacker visits victim pages to see if anticipated exploit worked.

This attack only requires that victim and attacker share the same PHP server. The attack is not dependent on victim and attacker having the same virtual hostname, as it is trivial for attacker to move the session identifier cookie from one cookie domain to another.