No Cookie - No Sid=xxxx

[Webbi]

Hi Leute

Mal eine Frage zu SESSION!

Habe ein kleines Problem!

Ich möchte kein Cookie setzen und die SESSION auch nicht übergeben, da mein momentanes Script (coolmenus4 von www.dhtmlcentral.com) dies auch gar nicht anhängt (& wegen Sicherheit).

Also, meine Frage, geht das?

Bisher hab ich nix gefunden.

Meine Einstellungen hab ich so gemacht (im PHP-Skript):

ini_set ("session.use_cookies", "0");
ini_set ("session.use_trans_sid", "0");

Webbi

[Trashar]

also entweder wird ein cookie gesetzt mit der sessionid oder den links mitgegeben

oder du musst dir ein eigenes session system programmieren

mfg

[TobiaZ]

Und selbst wenn du ein eigenes sessionsystem programmierst, musst du eine ID übergeben...

Ohne ID keine Sessions!

[Trashar]

na zb die id inner db speichern und per ip holen
was aber leider nicht alzu sicher ist :|

in php haben sie schon ein recht sicheres system, ich würd es benutzten

[TobiaZ]

na, in dem falle wäre die IP deine ID.

[Trashar]

jo
was aber wieder urm nich so sicher ist, da wenn zb 2 leute im netzwerk online gehn..

[TobiaZ]

genau. oder bei AOL zb...

ich halte es da genauso wie du. PHP eigenes Handling ist sehr gut.

[pekka]

Du musst Coolmenus halt dazu bringen, die sid mit dranzuhängen. Ich nehm an PHP selbst ist dazu nicht in der Lage, weil die URLs Clientseitig mit JS generiert werden. Dazu musst Du entweder Dateien mit der Endung .js PHP-Parsbar machen oder die Coolmenus-Includes in .php umbenennen. Dann die URL-Befehle suchen und ein <? echo "?sid=".$sid; ?> (oder wie auch immer die Variable heisst) dranhängen. Dass Coolmenus das im Moment nicht macht, hat nix mit Sicherheit zu tun, sondern einfach damit dass Sessions ein Spezialfall sind, der für die JS-Jungs nicht relevant ist.

[Webbi]

Hi Leute

Danke für die Antworten.

Ich finde ja auch, dass PHP das mit den SESSIONS sehr gut macht, allerdings wäre es doch nicht schlecht, wenn in einer nächsten Version dass SESSION-MANAGEMENT auch ohne COOKIES bzw. LINK-ANHÄNGEN auskommen würde.

Denn eins ist doch wohl klar:

- Suchmaschinen haben es nicht so gerne mit "?" usw.
- Link an Freund mit SESSIONANHANG geben ist nicht so sicher.
- Sieht sch... aus mit dem SESSIONANHANG
- Viele wollen keinen COOKIES

Daher wäre es doch nicht schlecht, SESSION auch ohne COOKIE bzw. SESSIONANHANG zu realisieren.

[COLOR=blue]SAGT MIR EURE MEINUNG![/COLOR]

--------------------
Solange werde ich wohl erstmal, wenn ich mit dem Menu arbeite, die Session anhängen.
--------------------

Webbi

[Titus]

Sessions ohne Cookies kann sich der User quasi selbst aussuchen. Denn selbst wenn session_use_cookies=1, wird (mit session_trans_sid=1) beim ersten Start der Session sowohl versucht ein Cookie zu setzen als auch die Session-ID als Parameter in alle Links und Formulare eingebaut.

Kann auf der nächsten Seite der Session-Cookie nicht gelesen werden, weiß PHP, dass Cookies im Browser des Users abgeschaltet sind und benutzt die Erweiterung von Formularen und Links.

In neueren Browsern gibt es Browser-Sessions, die PHP auch mitbenutzt. Zumindest ist mir vor einiger Zeit mal aufgestoßen, dass meine Links NICHT durch die Session-ID erweitert wurden, obwohl ich Cookies ausgeschaltet hatte; und trotzdem hat das PHP-Session-Handling problemlos funktioniert.

Abgesehen davon gibt es keine Lösung - ohne Session-ID keine Session, egal wie die ID übertragen wird.


Links weiter reichen ohne die Session-ID kann man z.B. über ein kleines Skript realisieren, das auch hier im VB eingebaut ist: Die Angabe der Session-ID wird einfach aus der URL entfernt:
$url = preg_replace ('/(\?|&)'. preg_quote(session_name()). '=.*(&|$)/U', '', $url);
(wie üblich nicht getestet, sollte aber trotzdem stimmen)

Das klappt natürlich nicht, wenn man die SID einfach aus der Adresszeile kopiert; aber die Methode wird hier an mehreren Stellen eingesetzt, u.a. beim Einfügen von internen Links in Postings oder Private Nachrichten.


Für CoolMenus mit trans-sid gibt es neben der manuellen Erweiterung der Links rein theoretisch noch eine weitere Lösungsmöglichkeit, und zwar die Erweiterung der Direktive url_rewriter.tags. Leider funktioniert das derzeit nur mit echten Tags; es sei denn es gibt da noch undokumentierte Features.

[sEeb]

vielleicht versteh ich euch ja falsch, aber die session id brauchste nicht übergeben
du aktivierst register_globals und machst am anfang dein session_start() dann findet er die alte session automatisch wieder
funktioniert bei mir zumindest

[pekka]

Mit dem neuesten IE schon. Aber probier das mal mit nem alten Netscape.

[BloodReaver]

Links weiter reichen ohne die Session-ID kann man z.B. über ein kleines Skript realisieren, das auch hier im VB eingebaut ist: Die Angabe der Session-ID wird einfach aus der URL entfernt:
$url = preg_replace ('/(\?|&)'. preg_quote(session_name()). '=.*(&|$)/U', '', $url);
(wie üblich nicht getestet, sollte aber trotzdem stimmen)

Das klappt natürlich nicht, wenn man die SID einfach aus der Adresszeile kopiert; aber die Methode wird hier an mehreren Stellen eingesetzt, u.a. beim Einfügen von internen Links in Postings oder Private Nachrichten.

ähm... kann mir das mal einer erklären, da komm ich etz nämlich net ganz mit was ihr da wollt... *grübel*

EDIT:

---

meinst du etz wenn ich was mittels [URL] einfüge oder?! ich glaub etz hab ich geblickt was du gemeint hast

---