Session Sicher? Includes? Time?

[wwj]

Hallo Leute,

Also seit neustem befasse ich mich mit Session.
Habe also noch nicht wirklich viel Ahnung davon.

Grundsätzliche Frage:
Sind Sessions auch so sicher wie .htaccess?

Andere Frage:

Wie schütze ich eine include Datei damit diese nicht direkt über den Browser geöffnet werden kann?
Denn in der Include Datei kann ich ja die Session_start() nicht mehr einfügen.

Kann ich auf einem einfachen wege die Session nach 20 min beenden?
Oder muss ich ein MySQL lösung basteln wo die Zeit hineingschrieben wird und dann bei jedem Seitenaufruf abgefragt ob die Zeit abgelaufen ist?
Wenn ja dann weiss ich sowiso nicht wie diese Abfrage Programmiert wird.

Also danke schon mal...

Gruss Jürg

[schmalle]

sessions sind schon eine sichere sache. man müsste schon die session id erraten, um sich in die session eines anderen users einzuhacken.

zum schutz der include files. einfach in der session eine var speichern "eingelogged". in dem include file foilgende abfrage:

if(!session_is_registered($variable)) { die (" so nicht mein freund "); }

session und sql ist ne gute idee. einfach die sessionID in die datenbank, und einen timestamp + 20 min. bei jedem aufruf der seite alle id aus der db kicken, die aläter als now() sind. dann ein zweiter select, ob die id des users noch drin ist. wenn sioe drin ist update time()+20 min, ansonsten session_destroy() und die(" nö nö so auch nicht ");

[Lawless]

Die Session ist nix anderes als ein Cookie... und das Ding 'expired' irgendwann (spätestens wenn der Browser zu is)
Oder man setzt einen TimeOut
-> session_set_cookie_params("3600");
In 3600 Sekunden ist man wieder ausgeloggt wenn nicht vorher jemand den Browser zu macht oder session_destroy aufruft...

[schmalle]

auf cookies würde ich mich nicht verlassen! nicht jeder akzeptiert sie. daher werden bei allen guten provider auch zusätzlich session_files angelegt!

[wwj]

Hi,

Also das mit der Variable hat geklappt.

Das mit der Session Timeout hat sich in diesem Falle auch erledigt.
Ich habe halt der Browser 12 Std. offen und darum fällt mir das nicht mehr auf das die Session auch so beendet werden kann!

Vielen Dank

[Trashar]

Original geschrieben von schmalle

if(!session_is_registered($variable)) { die (" so nicht mein freund "); }

also ich würd das lieber so machen:

if(!$_SESSION['variable']) { die("sooo nicht"); }

mfg

[Abraxax]

Original geschrieben von Trashar
also ich würd das lieber so machen:

if(!$_SESSION['variable']) { die("sooo nicht"); }

mfg

wenn so, dann schon so richtig...

if(!isset($_SESSION['variable'])) { die("sooo nicht"); } 

aber wie auch immer die schreibweise ist ALT / NEUE / ABSOLUT , der effekt ist immer der gleiche...

[schmalle]

session_is_registered() ist am besten, weils ne funktion is. die wird so schnell nicht geändert

[Abraxax]

Original geschrieben von schmalle
die wird so schnell nicht geändert

aber rausgenommen vielleicht, weil es veraltet ist...

[schmalle]

das kann ich mir ned so recht vostellen. weil vonner therie könnte man in $_SESSION auch manuell was reinschreiben. somit ist die einzig wahre methode die meinige
PS basta

[Abraxax]

Original geschrieben von schmalle
somit ist die einzig wahre methode die meinige

papperlapapp. und jetzt ruhe.

[wwj]

Und damit wäre auch das geklärt....

http://www.phpcrawler.de/phpmanual/f...registered.php

Trotzdem Danke!

[schmalle]

man hätte auch sagen können "ja schmalle, du hast natürlich recht!"