Hvor sikker er en session?

hvis url'en hedder det du har skrevet så kan man sagtens - hvis man altså gidder sidde og gætte sig frem eller man sidder på en computer hvor en bruger tidligere har været inde.

Sikringen imod det er klart session. Session er unik mellem webserver og klienten - dvs brugere ikke kan dele sessions, session udløber efter 20 minutter (som standard - kan godt ændres) så selvom man glemmer at logge ud er der ikke nogen kæmpe risiko.

på http://activedeveloper.dk/artikler/default.asp?mode=showallchapter kan du læse mere om det - nok primært http://activedeveloper.dk/artikler/default.asp?articleid=8 og http://activedeveloper.dk/artikler/default.asp?articleid=180. Men generelt på http://activedeveloper.dk samt www.html.dk og www.netcoders.dk er der gode tutorials og eksempler du kan downloade

Normalt skulle din session sikre, at kun du kan gå ind og læse denne fiktive besked. Selvom jeg kendte til URL'en, får jeg ikke noget ud af at benytte linket, jeg har sat det op, så du ville få beskeden: Du skal være logget ind for at kunne læse denne besked. Hvad mener du med at gætte? Jeg er ikke helt med :o)

Hvis siden i den URL (altså read.asp) ikke var sikret med sessions og der var en der gad gætte sig frem til din adresse kunne man også komme ind. Men er siden sikret med session er den så godt som 99% sikret (intet online er 100% sikkert)

Ok, det var det, jeg ville lidt hen imod. Det kunne også være et debatforum, hvor man skulle være medlem og logget ind for at deltage:

http://www.debatten.dk/debate.asp?categoryID=14?subjectID=2

Selvom man indtaster den direkte URL, vil man altså ikke kunne læse/deltage, medmindre ens session er aktiv?

Og der findes ikke andre måder, man uretmæssigt kan komme ind på den adresse?

hvis bare du sørger for at sikre samtlige "medlemssider" med session - fx

If session("brugernavn") = "" Then
  response.redirect "snydt.asp"
End If

Så kan man ikke komme uberettiget ind uanset om man kender url'en eller ej

Takker mange gange, nye bedste ven :o)

wuhuu! en ven!