Session für Security

[Benny-one]

Hi, ich lasse bei der installation ein adminname und ein adminpasswort angeben >> lasse eine Session startet >> lass adminname und adminpasswort in der Session speichern >> die Session wird in die MySQL DB reingeknürrt >> ende Teil 1

nun will ich einloggen >> adminname und adminpasswort werden geprüft >> wenn korrekt dann wird die session geladen >>
$session = "PHPSESSID$user[sescode]";

so, nun mein Problem

A: geht das so, oder hab ich schon fehler gemacht?
B: wie frage ich jetzt ab, ob adminname und adminpasswort registriert wurden?

Ich hatte es jettz so gemacht:
if(session_is_registered("adminname") and session_is_registered("adminpass")){

doch das geht nicht , könnt ihr mir helfen??

Danke

[TobiaZ]

Speicherst du die Session in der DB? Was ist das für eine DB?

[Benny-one]

das ist in der MYSQL Datenbank und die Tabelle heitß config

session: 41ab096619ba7cf1f6bf52bf98cf126a

[TobiaZ]

also benutzt du nicht das standard-Session System (Files auf dem Server), sondern möchtest selbst was bauen, was auf sql basiert.

In deiner Ausführung weis das "is_registered" ja gar nicht, wo es suchen soll, ...

[Benny-one]

ich bin davon ausgegangen, das wenn ich die session aus der dp lade, das dann der script erkennt ob die registert wurde, wie muss ich es machen?

[TobiaZ]

Hast du schon irgendwelchen Code?
Wie genau willst du denn Vorgehen? Codemäßig.

[Troublegum]

Wenn du ein eigenes Session System benutzen willst (wie es ausschaut, wenn du die Sessions in der DB speicherst), musst du deine eigenen Funktionen schreiben oder du schreibst deinen eigenen Session handler: siehe http://www.phpbuilder.com/columns/ying20000602.php3

[TobiaZ]

Genau, deswegen auch meine Frage nach dem Code.

Aber ich würde mir wirklich gut überlegen, ob ich unbedingt was eigenes brauche. Bringt dir das irgendwelche Vorteile? ...?
Ich konnte für mich noch keine Vorteile entdecken und fahre bestens mit den "Serverfile"-Sessions.

[Benny-one]

wie sieht so ne funktion aus?

[Coragon Rivito]

@ benny

die funktinen session_register(), session_is_registered() etc verwenden die globals .. dh wenn register globals deaktiviert ist funktionieren die teile nicht mehr .. steht auch im php manual .. ab und zu ein blick wär schon drin, oder ?

jedenfalls kannst du variablen so zuweisen: $_SESSION['adminname'] = "xyz";

und prüfen kannst wie üblich: if (isset($_SESSION['adminname'])) {}

dabei ist es egal wo die sessions gespeichert werden ..

@ tobiaz

demzufolge ist deine aussage falsch:

In deiner Ausführung weis das "is_registered" ja gar nicht, wo es suchen soll, ...

die php-interne funktion würde imho so aussehen ..

function session_is_registered($var) {

  if isset($vvar) return true;
  else return false;

} 

darum kanns bei register globals off gar nicht funktionieren ..

@ all

php.net:

Anmerkung: Benutzen Sie bei Verwendung von $_SESSION (oder $HTTP_SESSION_VARS bei PHP 4.0.6 oder niedriger) isset() um zu prüfen, ob eine Variable in $_SESSION registriert ist.

[TobiaZ]

@CR:

Wenn ich session_is_registered(user) benutze, sucht es aber nicht automatisch in der DB WHERE sid=SESSIONID und guckt, ob da ein Username drin ist. Da muss ich mir doch ne Entsprechende Funktion basteln.

[Coragon Rivito]

tobiaz,

wenn du die session startest holt sich php alle variablen zusammen und stellt sie per $_SESSION zur verfügung ..

bzw damals nur die variablennamen, dort gingen session_is_registered() etc ..

und schreiben tut php die sessions auch erst am schluss, bzw bei session_write_close()

und welche methode ob files oder user is dabei egal

btw: mein 200er beiträge post

[TobiaZ]

und woher wis session_start() woher die daten kommen sollen?

Eidt: alles gute zum 200ten!

[Troublegum]

ich kann mich nur wiederholen: http://www.phpbuilder.com/columns/ying20000602.php3

[Coragon Rivito]

@ tobiaz

gute frage ..
aber theoretisch bräuchte es nur $_REQUEST['sessid'] auszulesen *g*
bzw $_REQUEST[session_name()]