sessions og sikkerhed

Sessions fungerer vist kun på det domæne de er sat på. Ligesom cookies.
Så hvis du sætter dem på www.minside.dk, vil de ikke virke på www.minandenside.dk.

Er dog ikke 100% sikker på det.

Sessions kan ikke følge med til en anden side som intenz siger.
Problemet kan være hvis en hacker opsnapper den session id, for den kan han nemlig bruge. Så kan han "overtage" den og derved have adgang til dens oprendelige brugers data.

Ved dog ikke hvordan det gøres, og hvor svært det er.

Det er jeg ikke så sikker på. Har læst følgende på http://dk2.php.net/manual/da/ref.session.php

There are several ways to leak an existing session id to third parties. A leaked session id enables the third party to access all resources which are associated with a specific id. First, URLs carrying session ids. If you link to an external site, the URL including the session id might be stored in the external site's referrer logs.

petan, Ja, men det er kun hvis du har konfigureret PHP til at køre med sessions ID'er i URL'en - Det ses nogle steder, du kan se at URL'erne hedder:

  http://example.dk/side.php?var=1&PHPSESSID=003541ba24119f98c1ca1ef9c5e36fc7

Det er denne PHPSESSID (hvis man har kaldt den det) som de snakker om her... En normalt opsat PHP kører med det skjult. Så er folk nødt til at "hijacke" dine cookies, og det er vist lidt sværere :)

Så hvis du kører med defaultopsætning, så ja! Det er sikkert nok! Hvis du vil have det mere sikkert skal du køre mes SSL :)

coderdk-> tak for et fyldestgørende svar. Hvis du ligger et svar, så giver jeg point.

Ikke for at smadre dit svar coderdk. Men mener ikke det helt korrekt. Jeg er faktisk ved en fejl fået adgang til mange af disse esseions her på exp.dk.
Nu har jeg ikke det store styr på sikkerhed, men exp.dk virker da som nogenlunde sikkert.
Jeg vi begge har sagt i et andet spam kan du ikke bruge seesion hvis brugeren ikke bruger cookies. Så (som jeg har forestået det) ender i de i urlen.

Ikke for at smadre dit svar coderdk. Men mener ikke det helt korrekt. Jeg er faktisk ved en fejl fået adgang til mange af disse esseions her på exp.dk.
Nu har jeg ikke det store styr på sikkerhed, men exp.dk virker da som nogenlunde sikkert.
Vi begge har jo sagt i et andet spam, at kan du ikke bruge seesion hvis brugeren ikke bruger cookies. Så (som jeg har forestået det) ender i de i urlen.

Sådan..

petan, Yessir! Godt nytår!

rasmus, har du fået adgang til sessions på exp? I explorer og andre browsere kan du disable cookies og enable session cookies, men det er sandt at hvis man slår begge fra virker sessions ikke. For at en session kommer i URL'en, så skal du sætte PHP til session.use_trans_sid 1 og det er den *ikke* som default - Så hvis man kører med defaultopsætning og lukker folk ude der ikke kører med cookies (det er jo deres egen skyld) - så er man ok!

Vil ikke have problemer, men vil da gerne fortælle hvordan.. har du msn `?

rasmus-madsen, Nææh, men IRC @ qnet på #php.dk er jeg lige nu hvis det er, hvis du ikke har en IRC-klient installeret er det ligemeget :)

ok har det nemlig ikke :D