[PHP5] Sicherstellen, dass User der ist für den er sich ausgibt

[Screw Driver]

Hallo,

ich habe ein Login-Formular und würde gerne danach abfragen, ob ein User der ist, der er sein soll?

Nach erfolgreichem Login generiere ich eine neue Session-ID und schreibe diese in seine Session. Da ich anghand der Session-ID aber ja noch keinen Rückschluss auf den User ziehen kann, dachte ich nun daran, seine User-ID ebenfalls in die Session zu speichern. Auf den anderen Seiten würde ich dann prüfen, ob seine Session-ID gültig ist.

Kann der User aber die User-ID ändern, so dass er eine gültige Session-ID, aber eine andere User-ID hat?

Wie mache ich das sicher odee verhidnere Missbrauch?

[frankburian]

ist eine user-id nicht immer eindeutig!? und seit wann darf ein nutzer seine user-id ändern?

[wahsaga]

Re: [PHP5] Sicherstellen, dass User der ist für den er sich ausgibt

Daten in der Session können nicht von ausserhalb verändert werden, nur server-intern.
Sofern deine anderen Scripte also keine Lücken aufweisen [1], die dies ermöglichen würden, ist dein "Problem" als nicht existent.



[1] Wo von natürlich nicht unbedingt auszugehen ist, wenn selbst zum simplen Thema Sessions noch solche Verständnisprobleme bestehen.

[Screw Driver]

Ja die ID ist an sich eindeutig, aber kann er nicht an die Session rankommen und dann manuell eine andere ID reinschreiben wie z.B. bei Cookies?

[frankburian]

Daten in der Session können nicht von ausserhalb verändert werden, nur server-intern.

[onemorenerd]

Re: [PHP5] Sicherstellen, dass User der ist für den er sich ausgibt

Original geschrieben von Screw Driver
Kann der User aber die User-ID ändern, so dass er eine gültige Session-ID, aber eine andere User-ID hat?

Wie soll er das machen? Alles was er hat, ist ein Cookie mit einer SessionID. Die kann er freilich ändern, aber die Wahrscheinlichkeit, die ID einer anderen aktiven Session zu erraten ist gering. Wie gering und warum, haben wir hier schon (mehrmals?) erörtert. Benutze die Suche.

[Screw Driver]

Habe gerade den neuen Beitrag angelegt als wahsaga gepostet hat.

Ich danke euch für die schnelle Hilfe. Bitte ned so auf mich draufhauen, bin halt noch kein Profi.