array in session - session in array

[crono]

kinder unter sich

[Campus]

KIND unter sich

[crono]

dazu sag ich jetzt nix ich bedanke mich aber bei euch BEIDEN für die hilfe.

[goth]

@Campus: Wieso bist Du unter Dir??

[Rob K]

@goth

@crono:
Weil "Rob K" mal wieder was sagen wollte ... !

wie war das denn jetzt gemeint? *wunder*

diese aussage war/ist nicht unbegründet:

- man kann nur begrenzt daten in einer session speichen (man sagt wohl so max. 5 kb)
- sessions bedeuten immer eine kleine sicherheitslücke

[goth]

Original geschrieben von Rob K
@goth

diese aussage war/ist nicht unbegründet:

- man kann nur begrenzt daten in einer session speichen (man sagt wohl so max. 5 kb)
- sessions bedeuten immer eine kleine sicherheitslücke

Limit von 5KB kann nicht sein ... die größte Session die derzeit auf einem meiner System aktiv ist hat 9.423 Bytes ich wüßte auch nicht welches Limit die Sessiongröße haben sollte außer das das Memory-Limit erreicht wird ... !

Die Sicherheitslücke müßtest Du mal erklären ... derzeit ist an und für sich nichts bekannt!

[Rob K]

ich hab die ~5 kb gestützt auf diese aussage gesagt:
http://www.dclp-faq.de/q/q-sessions-datenmenge.html

und wenn du auf einem shared-host mit 200 accounts bist, davon je 20 meinentwegen 500 sessions mit je 10 kb hätten, würdesz du einen deutlichen performaceverlust spüren denke ich!

auf einer stark frequentierten seite (großes forum oder so) werden seltenst php.sessions verwendet!

siehst du auch daran, dass die meisten großen forensysteme eigene session-routinen nutzen!

Die Sicherheitslücke müßtest Du mal erklären ... derzeit ist an und für sich nichts bekannt!

ich meine damit nicht eine 'wirkliche' sicherheitslücke!
z.b. könnte der böse server-admin im filesystem umschnüffeln oder was weiß ich .... eine restrisiko bleibt immer.

Sessions sind als Mechanismus für sichere Authentifizierung nicht verlässlich.

sagt: http://www.php.net/manual/de/ref.session.php

[Campus]

naja, in ne mysql datei können böse serveradmins genauso gut rumschnüffeln

ich glaub die DB basierten sessions, sind von der funktionalität her viel umfangreicher als datei-session..

[MoRtAlAn]

benutze ich auch nicht die Sessionfunktionen von PHP, nehme ne eigene klasse und muß sagen, daß ich damit noch keine Probs hatte. Die Sessiondaten in ne Heap-table und gut is.

gruss

[goth]

Also ich verwende PHP Sessions auch für große Projekte mit Zugriffszahlen > 2 Mio Pi's / Monat und hatte bisher keinerlei Performance Probleme. Ich würde im Übrigen bei den Zugriffszahlen DB-Basierte Sessions für aus Performance Sicht weitaus kritischer ansehen.

Einen definitiv sicheren Weg gibt's im Internet nicht ... meines erachtens ist es wichtig die PHP-Sessions an IP's zu binden um die 'Feindliche Übernahme' zu verhindern ... ansonsten sehe ich derzeit wenig Risiken!

Eine eigene Klasse halte ich erst von dem Zeitpunkt an für sinnvoll, wenn echte Destruktoren definiert werden können ... also ab PHP5. Ich verwende zwar auch 'ne Klasse für's Session-Handling aber die ist lediglich ein Wrapper um's handling des Originals zu vereinfachen.

[Rob K]

meines erachtens ist es wichtig die PHP-Sessions an IP's zu binden

darauf kann man sich aber auch nicht verlassen. bei einem proxy etc. kann sich die IP auch beim surfen ändern soviel ich weiß!

[goth]

???

Ja und ... dann muß der Benutzer sich neu anmelden ... sicherer geht's ja wohl kaum ... da ist's eher ein Problem das mehrere User über einen Proxy surfen können ... und nicht jeder Proxy 'nen X-Forwarded-For Header sendet!