16. november 2000 - 21:29Der er
12 kommentarer og 3 løsninger
sessions og sikkerhed
Davs...
Jeg sidder lige og laver noget brugersystem-halløj, og benytter selvfølgelig sessions :) Så er det er jeg får den geniale idé at jeg bare kan gemme brugerens id, og så tjekke med $HTTP_SESSION_VARS[brugerid] om brugeren er logget ind...for en bruger kan vel ikke fuske sig til at sætte en session uden at være registreret og logget ind, vel? Mit spørgsmål går så på hvor vidt det er sikkert nok kun at tjekke om brugerid\'et er sat, eller om jeg også skal gemme pass, og så tjekke op med db\'en..??
Det var lidt svært at få formuleret forståeligt, så sig til hvis der er noget i ikke forstår!
jd -> Jeg ville mene det var sikkert nok. Du kunne jo være så \"fræk\" at lave et random ID, som du samtidig smider i en cookie, som så verificeres hver gang - evt. samme som en af dine session variabler - bare en tanke :)
FORDI: :) ...at uden session-id, kan jeg bare bruge if($HTTP_SESSION_VARS[brugerid]) til at tjekke om en bruger er logget ind... Ellers skal jeg hele tiden tjekke op med db\'en med de oplysninger der er gemt i sessionen på alle beskyttede sider!
Det gør vel heller ikke noget jd? Du kan jo gøre det inde at siden vises... Men det andet er også sikkert nok til det. Du ved, der er jo ikke noget som er helt sikkert eller det som ligner, der er ALTID en vej uden om... ;)
jepper.... der er altid en vej udenom, men jeg ville bare gerne om der var nogen der kunne fortælle mig hvor vidt min løsning er lige så sikker som alt muligt andet...
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
