"если возможно взять действительный cookie-файл codeigniter-session, измените значение идентификатора пользователя на значение другого пользователя и внесите изменения в учетную запись другого пользователя."
Мой ответ на самом деле не относится к CI, поэтому имейте это в виду.
Когда вы авторизуете пользователя "username1", то для целей аутентификации должно быть отправлено обратно клиенту, что должно быть хешем, который коррелирует серверэтому пользователю.Вся связь между клиентом и сервером будет зависеть от этого хеша.
Сервер сгенерирует уникальный хеш для пользователя, и хеш должен иметь короткий срок жизни.Может ли кто-нибудь захватить хеш и передать от имени этого пользователя?Конечно.Вот почему вы также должны проверить агент пользователя и IP-адрес, чтобы проверить, соответствуют ли они хешу, чтобы предотвратить перехват сеанса.
НИКОГДА НЕ ДЕЛАЙТЕ ЭТОГО:
Если видели некоторых новых разработчиковсохранение имени пользователя в файле cookie и использование переменной, отправленной клиентом, для обновления их баз данных.Никогда не делай этого.Никогда, никогда не доверяй клиенту.Когда сервер получает хеш клиента, он должен проверить, принадлежит ли он аутентифицированному пользователю, и получить user_id (переменную для обновления пользовательских данных) с сервера.НИКОГДА от клиента.