Door karma4: Ik gooi helemaal niets door elkaar, het wordt hier gepost als alles onder root / eigenaar root draaiend. Nee, niet alles maar de cron job die sessies opruimt draait onder root. Dat is een wezenlijk onderscheid. De cron job verwijdert sessies door simpelweg te kijken of bestanden een bepaalde tijd niet benaderd zijn en doet verder inhoudelijk helemaal niets met die sessies. De PHP-sessies draaien zelf niet als root. De eigenaar van een directory doet er wel degelijk toe haal die others rechten maar eens standaard weg. Je zult verbaasd zijn (of niet) hoeveel er dan overal van alles omvalt. Nee, dan zou ik totaal niet verbaasd zijn. Nogal wiedes dat de rechten die je instelt een doel en een effect hebben, als dat niet zo was zouden rechten geen functie hebben. Wat zou de reden zijn om wel write rechten te geven maar geen read, .... security by obscurity, Session-id's zijn random en de filenamen op een prefix na ook. De term security through obscurity slaat niet op alles wat je verborgen houdt ...