.htaccess vs. PHP&mySQL

**ghostgambler** · 24.11.2004, 19:02

Re: .htaccess vs. PHP&mySQL

Original geschrieben von Meillo
Wie schützt ihr einen Member-Bereich?

PHP+Session+MySQL

> .htaccess-Lösung wenn nicht nur "Pauschalrechte" vergeben werden sollen, sondern einzelne Aktionen verboten/erlaubt werden sollen.
> .htaccess - mit Sessions oder ohne?

Einzelne Rechte werden dann kompliziert, weil du nur das Skript damit schützt, bzw. den gesamten Ordner...du müsstest dann für jede Aktion einen Ordner+htaccess-Datei machen...meines Wissens nach
httacces funzt ohne Sessions!

Nach jetztigem Stand würde ich mich für PHP&mySQL + Sessions entscheiden.

Beste Wahl denke ich, weil du einfach ne Menge Freiheiten hast...

**xManUx** · 24.11.2004, 19:55

Re: Re: .htaccess vs. PHP&mySQL

Original geschrieben von ghostgambler
Beste Wahl denke ich, weil du einfach ne Menge Freiheiten hast...

*bestätige

**Meillo** · 24.11.2004, 21:34

Re: .htaccess vs. PHP&mySQL

Original geschrieben von Meillo
> wie sicher ist PHP&mySQL (vorrausgesetzt man macht es RICHTIG) im Vergleich zu .htaccess?

Hat da jemand seriöse Infos?

**jochenj** · 24.11.2004, 23:12

das thema hat mich auch mal interessiert

alter Thraed

habe mein mitgliedbereicht mit php, session und mysql zusammengebastelt, bei jedem seitenaufruf frage ich die db nach benutzerlevel und "gültigkeit" des login ab (nicht viele benutzer)

bezüglich der sicherheit: jedes passwort ist knackbar (frage der zeit und des aufwandes). mein script überspringt nach 5 falscheingaben die benutzerprüfung und zeigt keine loginmöglichkeit mehr an ob das auch bei .htaccess geht -> k.a., ansonsten kann ich eigentlich ruhig schlafgen

**S.Oliver** · 27.11.2004, 17:08

Man braucht keinen eigenen Ordner für jeden User, weil man den Usernamen ja durch auslesen von http://php3.de/manual/de/features.http-auth.php bestimmen kann. Diese Daten sollte auch nicht manipulierbar sein.

Warum muss eigentlich immer mySQL bemüht werden? Es reicht doch auch, wenn man alle Variabeln in der Session speichert. Oder hab ich irgendwie den Sinn einer Sessiontabelle nicht verstanden? Für mich ergibt sie nämlich nur dann Sinn, wenn man die aktuelle Anzahl angemeldeter User ermitteln will. Alles andere lässt sich auch NUR mit Sessions lösen.

**ghostgambler** · 27.11.2004, 17:43

Original geschrieben von S.Oliver
Warum muss eigentlich immer mySQL bemüht werden? Es reicht doch auch, wenn man alle Variabeln in der Session speichert. Oder hab ich irgendwie den Sinn einer Sessiontabelle nicht verstanden? Für mich ergibt sie nämlich nur dann Sinn, wenn man die aktuelle Anzahl angemeldeter User ermitteln will. Alles andere lässt sich auch NUR mit Sessions lösen.

Die UserTabelle ist hier glaube ich mehr darauf bezogen, dass darin Username und Passwort gespeichert wird. Der Rest ist nur Spielerei...aber hast du schonmal darüber nachgedacht, wie du deine User mit diesen dummen Popups nervst?
Solche Seiten guck ich mir gar nicht erst an (animexx ist eine Ausnahme, weil das bald entfernt wird, ich nutz schon die Testversion des einlogg-System, wo das Popup endlich wech ist)

btw. hat das System scheinbar viele Sicherheitslücken und das Ausloggen funzt irgendwie auch nicht richtig. Kann ich zwar nichts genaues zu sagen, weil ich mich mit dem Ding nicht wirklich beschäftigt habe (ich fand die Methode beim ersten angucken schon unsympathisch), aber auf Animexx ist es ein Grund, warum jetzt von diesem System weggegangen wird....nicht empfehlenswert also IMO
Außerdem hat so eine Verbindung mit einer MySQL-Tabelle schon mehrere Vorteile, auf die ich bei meinen Projekten gar nicht verzichten kann.

**wahsaga** · 29.11.2004, 11:08

Original geschrieben von ghostgambler
btw. hat das System scheinbar viele Sicherheitslücken

HTTP AUTH hat sicherheitslücken? nenn' mir bitte welche.

und das Ausloggen funzt irgendwie auch nicht richtig.

ein "ausloggen" ist bei HTTP AUTH ja auch gar nicht vorgesehen.

irgendwie habe ich bei dir den eindruck, dass du hier eine technik beurteilst, die du gar nicht verstanden hast.

**ghostgambler** · 29.11.2004, 14:07

Original geschrieben von wahsaga
irgendwie habe ich bei dir den eindruck, dass du hier eine technik beurteilst, die du gar nicht verstanden hast.

Ich hab sie mir gar nicht angeschaut....ich hab nur das geschrieben, was ich woanders aufgeschnappt hab. Das mit dem Ausloggen, war jedoch mal vorgesehen, nur das "Feature" wurde irgendwann aus den Browsern entfernt. Und das mit den Sicherheitslücken, dazu kann ich dir nicht wirklich was sagen. Das hatte ein "Vorgänger" von meinem jetzigen Projekt rausgefunden (war ein Anfänger, aber das muss ja nichts heißen) und ich hab mich damit nicht weiter beschäftigt, weil ich diese Art des Logins eh wieder rausgeschmissen hätte.
Bei einer Seite, wie die die ich grade programmiere sollte man sich aus ausloggen können....ist halt so, und da das nicht gegeben ist, liegt die Möglichkeit für mich flach.
Außerdem hasse ich (wie wahrscheinlich auch eine Menge Anderer) dieses blöde Popup, was sich einfach in den Vordergrund drängelt *grrr*

**wahsaga** · 29.11.2004, 14:17

Original geschrieben von ghostgambler
Das mit dem Ausloggen, war jedoch mal vorgesehen, nur das "Feature" wurde irgendwann aus den Browsern entfernt.

nö, war es nicht.

HTTP AUTH sieht nun mal kein "ausloggen" vor, auch wenn das viele leute offenbar nicht verstehen wollen.

es ist ja auch nur gedacht, um eine authentifizierung vor dem zugriff auf eine ressource realisieren zu können, und nicht um damit komplette "login-systeme" mit wer weiß was für features zu implementieren.

**mrhappiness** · 29.11.2004, 14:20

Original geschrieben von wahsaga
HTTP AUTH hat sicherheitslücken? nenn' mir bitte welche.

Wenn man wollte, könnte man die fehlende Möglichkeit, sich abzumelden, als Lücke bezeichnen.

Aber... Wenn das wirklich überhaupt nicht geht, dann ist mein phpmyadmin, mein confixx und was es noch so alles an tollen Sachen gibt, kaputt... da kann ichmich nämlich wieder abmelden
ich bin aber eher geneigt zu glauben, dass es wohl doch geht, du nur nicht weißt, wie

**wahsaga** · 29.11.2004, 14:22

Original geschrieben von mrhappiness
ich bin aber eher geneigt zu glauben, dass es wohl doch geht, du nur nicht weißt, wie

nö, das von dir genannte ist ein krückenhafter workaround, der aber wenig taugt - und auch nichts daran ändert, dass bei HTTP AUTH vom konzept her nun mal kein logout vorgesehen ist. das kannst du drehen und wenden wie du willst ...

lies mal http://www.php.net/manual/de/features.http-auth.php

**MaxP0W3R** · 01.12.2004, 08:05

ich hab das so gehandhabt:

wenige user (z.B. firmenbereiche, adminbereiche) mit .htaccess

multi-user mit Sessions, ggf. mit MySQL backend

**jahlives** · 01.12.2004, 13:16

Für mich gibt's da nur Sessions mit einer MySQL-Tabelle.
Beim Einloggen lege ich eine Timeoutzeit fest, an der die Session nicht mehr aktiv ist. Bei jedem Aufruf einer geschützten Seite wird die Timeoutzeit in der DB bei der entpsrechenden Session angepasst. Wenn die Zeit nicht mehr aktuell ist (der User hat zu lange keinen Link mehr geklickt), dann kick ich ihn bei der nächsten Anfrage nach einer geschützten Seite wieder raus.
Funzt gut bei wenigen Usern (keine Ahnung wie die Performance bei einer grossen Anzahl Usern ist, da ich doch die DB ein paar Mal bemühen muss)

Gruss

tobi

**S.Oliver** · 01.12.2004, 18:26

Ich schmeiss das jetzt einfach mal in die Runde.

Im Prinzip würde doch auch nichts dagegen sprechen, den Ablaufzeitpunkt der Session ebenfalls in der Session zu speichern und die dann mit der aktuellen Uhrzeit zu vergleichen. Zusätzlich kann man ja dann auch den Ablauf der Cookies entsprechend anpassen und die Sessionzeit auf die gewünschte Zeit kürzen.

Vom Punkt Sicherheit her, dürfte das doch keinen Unterschied machen, weil die Session ja von außen nicht veränderbar ist und es spart 3 mySQL Abfragen (alte löschen, überprüfen, ersetzen). Gibt es mit der Methode Probleme, die mir vielleicht noch nicht so bekannt sind?

PHP & mySQL ohne Sessions	0%	1 Stimme
PHP & mySQL mit Sessions	0%	25 Stimmen
.htaccess (Useradministration über FTP-Tool)	0%	0 Stimmen
.htaccess (Useradministration über Browser)	0%	0 Stimmen

.htaccess vs. PHP&mySQL