Насколько надежна авторизация с сессиями?

[tche]

Насколько надежна авторизация с сессиями?

Привет! Работаю над БД под MSSQL и apache+PHP+Linux.
Броузер только IE (по ряду причин).
Для авторизации пользователей (у нас их ограниченное число и только зарегистрированные) сейчас используется просто .htpasswd.
В другом варианте есть проверка user_name/pasword по таблице из БД, но все равно через PHP_AUTH_USER/PHP_AUTH_PW (то есть все равно апачевская).

Правильно ли я понимаю, что можно использовать сессии (на куках), проверять пароль по таблице БД, и записывать в некую переменную сессии 1, если пароль подходит.
А дальше во всех скриптах проверять просто эту переменную?
Для logout просто unset этой переменной.

Надежен ли и распространен ли такой способ, или мне еще надо читать? Какие тут подводные камни, как себя обезопасить.

Спасибо,
Ч.

 

[RomikChef]

Re: Насколько надежна авторизация с сессиями?

Теоретически 100% надежных авторизаций нет.
Теоретически авторизация сессиями защищеннее, поскольку пароль посылается только один раз при авторизации, а не гоняетсчя от бровзера серверу при заходе на каждую страницу.
Практически авторизация сессиями гибче.
Способ надежен и распространен.
Читать надо все равно.

 

[Alexei]

Re: Насколько надежна авторизация с сессиями?

Я делаю таким образом:
http://phpclub.net/talk/showthread.php?s=&threadid=17227

Еще замечу, что сессию нежелательно открывать автоматически, а делать это нужно только когда она действительно нужна. То есть когда пользователь ходит по сайту неавторизованным - сессии вообще быть не должно. И по отношению к поисковикам так правильнее будет.

 

[tche]

Спасибо всем (-)

щщ

 

[torero]

Re: Спасибо всем (-)

Автор оригинала: tche
щщ

Замечу что сначала мне хватало unset. Потом (еще не выяснил почему) перестало хватать. Теперь ставлю еще и session_unregister("myvariable");