Daten im Cookie verschluesseln

[pekola]

Hi,

mein php-system basiert auf cookies, dh ohne cookies kein access.

Zunaechst habe ich jetzt einfach mal eine session erzeugt, die einen cookie setzt, die Lebenszeit des session-cookies habe ich auf mehrere Tage ausgedehnt, um den benutzer auch spaeter noch wiederzuerkennen, was auch funktioniert.
(Was ist daran eigentlich so schlecht???)

Mir wurde naemlich gesagt, dass ich das nicht so machen sollte, ich sollte lieber "richtige" Cookies verwenden.

Aber in einem richtigen Cookie liegen alle Daten frei sichtbar rum, oder?

Wie kann ich die denn sichermachen, oder verschluesseln.
Wenn ich mir meine Cookies von anderen Webseiten anschaue da stehen dann irgendwelche nummern drin, aber keine daten, also was sollte ich da abspeichern...?

[Abraxax]

du weisst schon, dass ein session-cookie gelöscht wird, wenn der browser geschlossen wird. daher bringen dir angaben in tagen rein gar nichts.

aber was du machen kannst .... du speicherst nur ne id alà md5() ins cookie.

anhand dieser nummer kannst du dir nun daten aus der DB holen.

[pekola]

Das stimmt nich,

wenn ich die lebenszeit des session-cookies verlaengere, dann werde ich waehrend der lebenszeit auch trotz schliessen des browsers und auch rebooten wiedererkannt ....

[Abraxax]

dann ist es kein session-cookie.

[MaxP0W3R]

Naja, wenn seine Session ein paar tage lang gilt, kann er ja machen, wenn seine sessionID so 100 stellen hat ^^

[TobiaZ]

warum machst du denn direkt den nächsten Thread auf. wir waren doch schon auf das Thema umgesprungen!

[wahsaga]

Original geschrieben von Abraxax
dann ist es kein session-cookie.

man muss hier ein klein wenig differenzieren, weil ein und der selbe begriff - "session" - hier für zwei verschiedene dinge benutzt wird.


den cookie, in dem die session-id abgelegt wird, nennt man idR. session-cookie. wenn diesem ein "verfallsdatum" mitgegeben wird, dann existiert er auch über das schliessen des browsers hinaus.

die cookies, die ohne ein solches verfallsdatum gesetzt werden, sollen vom client nach dem beenden der surf-sitzung wieder verworfen werden, deshalb nennt man sie ebenfalls session-cookies. hier hat das "session" aber nicht unbedingt etwas mit dem session-begriff zu tun, wie ihn PHP verwendet.

[Abraxax]

wenn man es so rum sieht, stimmt es natürlich.