Session: auch den letzten Rest löschen

[pepsi]

Hallo,

$_SESSION = array('ID' => $_SESSION['ID'],
                  'IP' => $_SESSION['IP']); 

das bisschen code soll die Reste in einer Session löschen?
laut: tut.php-q.net/login-admin.html#u7

fehlt da nicht noch so was wie ne if-Abfrage?

Warum genügt nicht weiter oben im Script:

if(isset($_GET['action']) AND ($_GET['action'] == 'logout')) {
  session_destroy(); 

Gruss
Pepsi

[wahsaga]

Re: Session: auch den letzten Rest löschen

Original geschrieben von pepsi
das bisschen code soll die Reste in einer Session löschen?

Wieso löschen, es schreibt doch welche rein?

(Natürlich löscht es alles andere, was zuvor in $_SESSION drinstand.)

fehlt da nicht noch so was wie ne if-Abfrage?

Der Code befindet sich auf der angegebenen Seite doch bereits in einem else-Zweig.

[pepsi]

danke wahsaga,

werde versuchen, es mit Deinen Hinweisen
jeweils nachzuvollziehen.

dankeschön

Gruß
Pepsi

[nOe]

Eigentlich müsste session_destroy(); doch reichen, oder hab' ich jetzt einen Denkfehler?

[zerni]

das reicht nicht immer!

Wir hatten das mal im Unterricht besprochen, dass gewisse Situationen auftreten können, wo die Session dann nach wie vor besteht.

Leider finde ich gerade nicht den code der das umgangen hat.

[Kropff]

ganz rabiat:

$_SESSION = array();
unset ($_SESSION);
session_destroy(); 

gruß
peter

[pepsi]

"das" merk' ich mir! (auch)

Gruss
Pepsi

danke!

[3DMax]

Original geschrieben von Kropff
ganz rabiat

noch rabiater wäre es, auch ein eventuell vorhandenes session-cookie zu löschen:

// If it's desired to kill the session, also delete the session cookie.
// Note: This will destroy the session, and not just the session data!
if (isset($_COOKIE[session_name()])) {
   setcookie(session_name(), '', time()-42000, '/');
} 

[combie]

Original geschrieben von Kropff
ganz rabiat:

$_SESSION = array();
unset ($_SESSION);
session_destroy(); 

Nunja...

$_SESSION = array(); // verstehe ich , ist auch OK
// Aber um das Cookie zu wechseln ..
session_regenerate_id();

// oder etwas härter
session_regenerate_id(TRUE); 

Siehe: http://de.php.net/manual/de/function...enerate-id.php
Warum zufuß, wenn es doch eingebaute gibt..

[pepsi]

vielen Dank, wenn ich gross bin,
werde ich die vielen Möglichkeiten einsetzen können. Danke

Aber ich kreise immernoch um das Thema:

Ist das die richtige Kontrolle,
wenn ich mit var_dump..."nach" dem Löschen der Session

die Meldung bekomme:
Notice: Undefined index: ID in C:\Programme\xampp\htdocs\home\admin\admin.php on line 25
NULL

(vorher wird mit var_dump die richtige ID ausgegeben.)


Noch 2 kleine Nebenfragen:
Ist das xhtml mit seinen grausamen " "\ " empfehlenswerter
als ...html4
und: neue Seiten besser mit "....php?section=..." zu gestalten auch empfehlenswerter?
Bisher reichte mir die CSS-Aufteilung mit include-Dateien

[Kropff]

Original geschrieben von combie
Nunja...

$_SESSION = array(); // verstehe ich , ist auch OK
// Aber um das Cookie zu wechseln ..
session_regenerate_id();

// oder etwas härter
session_regenerate_id(TRUE); 

Siehe: http://de.php.net/manual/de/function...enerate-id.php
Warum zufuß, wenn es doch eingebaute gibt..

PHP 4 >= 4.3.2, PHP 5, ist leider immer noch nicht bei allen providern selbstverständlich.

gruß
peter

[pepsi]

ooooch, und ich?
bekomme ich auch noch eine Zusatzantwort auf meine Zusatzfrage?


Gruss
Pepsi

[Kropff]

OffTopic:

---

ooooch, und ich?

---

bitte schön.

Ist das xhtml mit seinen grausamen " "\ " empfehlenswerter als ...html4

sucki yaki (jacki wie hosi). du mußt aber bedenken, dass bei den strict-varianten ein target="_blank" verboten ist.

und: neue Seiten besser mit "....php?section=..." zu gestalten auch empfehlenswerter? Bisher reichte mir die CSS-Aufteilung mit include-Dateien

include? CSS? .php?section=? kaqnnst du mal präzisieren.

gruß
peter

EDIT:

---

aber auf gar keinen fall html transitional

---

[pepsi]

danke,
hm, target="_blank" hatte ich schonmal schmerzlich vermisst, es
wurde aber hier im Forum irgendwo auch als quasi Freiheitsberaubung
erklärt.
ok sukiyaki / danke
wenn ich Php?section anspreche,
dann meine ich das Tutorial von Quakenet,
dass das 3-Spaltenmenue mit CSS statt
mit Frames erklärt.

So, im Quakenet geht der Link mit einer GET-Variable zur nächsten Seite,
die z. Bsp. den Admin-Bereich erreicht.

So, und diese nächste Seite (ach, ich merke meinen Beschreibungsfehler)
ist nicht der Teilbereich von CSS sondern eine neue Seite.

Aber meine Frage besteht trotzdem noch:
Ist ne neue Seite ohne GET (section=) aus $admin_site = array();
nur mit nem einfachen Link
nicht auch grundsätzlich sicherer? Gerade auf dem Weg zum Adminbereich?

danke, danke
Gruss
Pepsi

[Kropff]

es wurde aber hier im Forum irgendwo auch als quasi Freiheitsberaubung erklärt.

der sinn dahinter ist, dass der user selber entscheiden soll, wo ein neuer link geöffnet wird. in modernen browsern ist das eh egal, da kannst das trotz target-angabe selber einstellen.

ich rede nur von vielen ie6-benutzern. in einem forum schrieb mal einer, dass er pdfs mit _blank in einem neuen fenster öffnete, worauf sich die halbe geschäftsleitung darüber mokierte, dass der zurück-button nicht funktionierte (die hatten das mit dem neuen fenster nicht mitbekommen). dann hat er das blank weggelassen und die andere hälfte (müssen wohl einige gewesen sein) mokierte, dass sie jetzt den zurück-button benutzen müssen. also hat er zwei(!) links gesetzt, einem im selben, einem im neuen fenster öffnen.

daher mein hinweis mit dem blank. ich selber arbeite deswegen immer mit xhtml transitional. da bin auf der sicheren seite.

nicht auch grundsätzlich sicherer? Gerade auf dem Weg zum Adminbereich?

wenn der link bekannt ist, nein. entscheidend für einen admin-bereich sind die sicherheitsmechanismen. stichwort sql-injections. zur not kannst du z.b. die parameter base46 verschlüsseln, das hält zumindest schon mal die script-kiddies fern.

gruß
peter