Сесии, авторизация

[tf]

WP дыж параноя рулит)
при перехвате SESSION_ID им можно воспользоватся только на это компьютере. на другом нельзя)

 

[Acabar]

IP не катит, я сайты создаю в основном для Клайпедской клиентуры. А там по статистике из 20 пользователей интеренета, только у двух IP норм, у других либо динамический, либо вообще 1 айпи на сто пользователей минимум. У меня второй случай. Так забанен везде где только можно.

 

[monk]

WP
Не люблю когда много запросов в скрипте. Особенно, когда вдальнейшем они начинают создавать нагрузку на БД.

 

[Acabar]

tf
у меня другая паранноя, что у авторизированого пользователя id или login каким нибудь магическим образом поменяеться. Нету никаких гарантий, что не появяться баги.

 

[monk]

>при перехвате SESSION_ID им можно воспользоватся только на это компьютере. на другом нельзя)

Как вообще водможен перехват SESSION_ID?

 

[tf]

monk где-то там - я помнится все просматрел)
Acabar одно время над этим делом запарился SESSION(id,login,password) сделал. но так как пока не сталкивался с тем что у тебя - при смене login | pass выкидывал пользователя (set ip=0,proxy=0), но можно добавить еще один флаг - заставить логится пользователя заново
(при смене данных new=0, добавить проверку залогиных id=5 AND new=1 - соответсвенно при новом входе утанавливать set new=1
ps/ надеюсь я номально изьяснил свою мысль

 

[Фанат]

стоило на 5 минут отойти - и нафлудили....
Acabar сдриснул отсюда

monk

Пароль для того, чтобы проверять f(isset($_SESSION['pass'])) {значит авторизован}

а логин для этого не годится?

Сессия не работает с куками, куки отключил.

зачем? почему?

 

[Acabar]

tf
Я помозгую над этим
Фанат
А что такое?

 

[monk]

Фанат
Ну тогда только логин переносим, но только в том случае, если не надо сверять пароль и логин с БД.

Куки отключил, потому что не все браузеры их будут поддерживать (мобильные).

 

[Фанат]

но только в том случае, если не надо сверять пароль и логин с БД.

а зачем их сверять с БД?
а id чем теюбя не устраивает для запросов?

Куки отключил, потому что не все браузеры их будут поддерживать (мобильные).

и что?
если у 9 человек есть ложка, а у одного - нету, то все 10 должны хлебать суп руками?

и как же у тебя теперь передаётся идентификатор сессии?

 

[monk]

>а зачем их сверять с БД?
Ну так если пользователь сменил пароль...
хм, хотя действительно, зачем проверять, ведь если в сессии только логин таскаем...
Пароль то нам нужен только один раз, при первой авторизации!
В крайнем случае можно просто при смене пароля обновить его в сессии!

>а id чем теюбя не устраивает для запросов?

В некоторых таблицах id пользователя не записываеся, а записывается только его логин, поэтому удобней переносить в сессии именно логин.

и как же у тебя теперь передаётся идентификатор сессии?

В адресной строке

-~{}~ 22.04.06 23:08:

А чем лучше переносить в сессии именно ID??

 

[Фанат]

В некоторых таблицах id пользователя не записываеся, а записывается только его логин

это неправильно.

и как же у тебя теперь передаётся идентификатор сессии?
В адресной строке

ты спрашивал, как можно перехватить сессию?
очень просто.
я сейчас даю тебе ссылку на свой сайт.
ты идёшь по ссылке, я лезу в логи, и достаю из реферера идентификатор сессии.
если он передаётся в адресной строке

 

[monk]

В чем разница логин ли переносить, пароль или ID?, или вообще все вмете?

 

[Фанат]

А чем лучше переносить в сессии именно ID??

в куках.
и только если они не поддерживаются - в урле

-~{}~ 22.04.06 23:12:

В чем разница логин ли переносить, пароль или ID?, или вообще все вмете?

в избыточности.
переноси то, что тбе нужно.
в отсутствии логики.
у тебя в сессии есть логин, а проверяешь ты её - по наличию пароля.

 

[monk]

>это неправильно.
Возможно...Но почему?

Дак многие передают в адресной. Посмотрите на wap.seclub.ru (можно с IE) например...

-~{}~ 22.04.06 23:25:

>лезу в логи, и достаю из реферера идентификатор сессии.
если он передаётся в адресной строке

А где про это можно почитать?

 

[Фанат]

по-моему, мы не обсуждали с тобой, кто чего передаёт.
ты спросил - я ответил.

многие под поезд бросаются.
если ты такой любитель следовать чужим советам - вперёд и с песней.

не надо мне здесь рассказывать, что там кто делает.
У меня, в отличие от тебя, голова на плечах имеется.
И для тебя будет гораздо лучше, если ты попробцуешь тоже чуть-чуть головой думать, а не смотреть на то, что делают ламеры

-~{}~ 22.04.06 23:26:

А где про это можно почитать?

в описании протокола НТТР

 

[monk]

Фанат
>по-моему, мы не обсуждали с тобой, кто чего передаёт.
ты спросил - я ответил.
Нет нет, конечно же не обсуждали, просто всегда обращаю внимание как сделано у других, надеясь на то что у них опыта в php больше чем у меня, но никогда не сомневался, что у программеров в phpclub опыта болше чем у них, поэтому всегда прихожу сюда.

СПАСИБО ЗА ПОМОЩЬ! )

-~{}~ 23.04.06 01:31:

Фанат
Нет, все таки мне нужно как то передавать две переменные, с логином и id. Логин для того чтобы (к примеру) вывести Выход[user_login] / Для такой мелочи лучше, наверное в сессии передать переменнцю чем делать запрос в БД? А без id тоже не обойтись многим запросам! Тогда может логин в сессии передавать, а id в адресной строке перекидывать, или уж тогда не морочиться и все в PHPSESSID носить?

 

[Фанат]

программеров в phpclub опыта болше

дело не в опыте. они просто читать умеют.
если ты включал передачу в урле в пхп.ини, то там целый текст написан - почему передача в урле менее надёжна, чем в куках.
а ещё можно почитать про то, что пхп автоматически различает, поддерживаются куки, или нет, и и что следовательно ничего отключать не нужно.
То есть, опять же, логика у тебя хромает.Не технология, не знание пхп, а только логика.
Если пхп поддерживает И куки Иурл, то ЗАЧЕМ отключать один из механизмов-то? только потому, что какие-то клиенты не поддерживают? Ну не поддерживают один - будет другой использовать. А совсем отключать зачем? Не понимаю

Нет, все таки мне нужно как то передавать две переменные, с логином и id

Нужно - передавай. Кто тебе запрещает?
Я что-то говорил про передачу переменных? Ты вообще читал? Я говорил про ЛОГИКУ. Я писал как раз о том же. Нужна переменная - передавай. А вот если не нужна - то зачем её в сессию писать? Вот что я говорил.
Хотя, конечно, пароль в сессию писать не стоит не только из соображений логики. На большинстве хостингов сессия пишется в файл, доступный любому пользователю хостинга. Со всеми вытекающими.

Тогда может логин в сессии передавать, а id в адресной строке перекидывать

зачем?
Какой в этом смысл?
Объясни пожалуйста. Мне очень интересно

 

[Сенсей]

огда может логин в сессии передавать, а id в адресной строке перекидывать
------------------

и будет у тебя такое /change_name.php?user_id=5
и зайду я к тебе на сайт - изменю в урле id на твой... и поменяю твой ник... что бы этого не было - нужно будет сверять $_GET['user_id'] != $_SESSSION['user_id']

Так почему бы не избавиттся от проверки - а сразу в запросах использовать $_SESSION['user_id']

то есть $_SESSION['user_id'] нужен полюбому...

 

[monk]

>Если пхп поддерживает И куки Иурл, то ЗАЧЕМ отключать один из механизмов-то?

Первоначально их отключил для удобства тестирования скрипта. Может это глупо, но сильно не ругайте, т.к. раньше сессиями никогда не приходилось пользоваться.

>Какой в этом смысл?

Может снизить количество обращений к сессиям...Хотя нет, действительно бред, в одну сессию записываюся то данные одного юзера, а не всех, кто сейчас выполняет скрипт...

Сенсей
>то есть $_SESSION['user_id'] нужен полюбому...

Да, все верно, нужен полюбому.

-~{}~ 23.04.06 13:59:

Фанат

У меня почему то сессии асоциируются с БДMySql. Принцип работы такойже, запись в файл...