login - sessions? cookies?

[BigBen]

hi,

hab da mal eine frage zum loginbereich einer seite. habe mir dazu das tutorial von andreas zimare durchgelesen, habe aber immernoch verständnisprobleme.

in dem tut wird ja folgende methode verwendet:
- einloggen
- user und passwort in session registrieren
- bei neuladen der seite, prüfung der registrierten variablen mit der datenbank

ist das nicht etwas langsam, wenn man mehrere hundert user hat und jedesmal dies mit der db abgeglichen wird?

können in einer session registrierte variablen denn von benutzern abgeändert werden? die sessiondateien werden ja auf dem server gespeichert, sprich: username und userpasswort und co sind ja direkt für den user nicht zugänglich, sondern nur denjenigen, der zugriffe auf das geschützte (!) verzeichnis hat.

daher wollte ich fragen, ob folgende methode mindestens genauso sicher ist wie die von andreas zimare:

- einloggen
- user und passwort in session registrieren
- bei neuladen der seite, überprüfen ob variablen schon registriert wurden, dann "blinde" verwendung dieser

vielen dank für eure antworten!

[Hopka]

wenn du aufpasst, dass nur richtige Usernamen und Passwörter in die Session kommen, ist es genauso sicher.

[BigBen]

ja, die überprüfung mache ich ja einmalig immer beim einloggen. da wird dann überprüft, ob name und passwort stimmen (sprich einmalig mit der db abgeglichen). wenn der user mit dem zugehörigem passwort gefunden wurde, dann werden erst die variablen in der session registriert.

wollte halt nur wissen, ob ich künstlich mit einem fremdscript sessionvariablen auf meinem server registrieren könnte und ob irgendwer bereits registrierte variablen auslesen könnte...

[TobiaZ]

Nee, das geht auf keinen Fall, außer jemand hat Zugriff zu deinem Server. Aber dann ist alles egal!

Also für das Management Sessions und die Cookies nur für nen AutoLogin (wenn überhaupt).

[Abraxax]

ich prüfe immer noch einmal in der datenbank ab. der vorteil ist, dass so auch geänderte rechte sofort aktiv beim user sind und er nicht noch einmal aus- und einloggen muss. bei rechteentzug ist das sehr nützlich.

[graf]

würde ich auch nur machen, wenn mysql auf localhost läuft. die rechte ändern sich ja nun eigentlich nicht sooooo oft und wenn kann man es dem user schon zumuten, sich neu einzuloggen.
aber letztlich ist es jedem selbst überlassen.

[TobiaZ]

btw: selbst beim ändern der rechte sollte es möglich sein, ohne einen erneuten Login auszukommen!

[graf]

indem man die entsprechende informationen mit dem ändern der rechte auch updated. das meinst du?

[TobiaZ]

jupP!

[Hopka]

Naja, der braucht sich auch so nich neu einloggen. Musst halt einfach nur die Variablen in der Session mit ändern, wenn der sein PW ändert oder was auch immer.

[TobiaZ]

davon waren wir grade am reden ;D

[Abraxax]

naja. wenn ein user (admin) die rechte eines anderen users (user) ändert, dann kann man nicht die session-daten ändern. erst beim nächsten reload des users können die rechte auch in der session aktuallisiert werden, womit wir wieder dabei wären, dass die rechte immer gecheckt werden sollten.

klar. wenn es tausende von usern gibt und immer eine gewisse 'kritische' masse davon online ist, sollte man die db nciht immer checken. da gebe ich euch recht. aber ansonsten würde ich es schon machen.