[PHP5] Anfängerfragen zu session's

**Bersi667** · 07.11.2007, 05:08

Hey,
also..zu deiner Frage, ob Sessions besser zu handhaben sind... die Antwort lautet eher ... jain... einfacher zu handlen find ich sie persönlich schon, allerdings musst du iwie sicher stellen, dass die Session nicht geklaut wurde, leider verändern einige ISP's wie etwa AOL, die IP-Adresse und auch den User-Agent während der Sitzung, also dürfte es nahezu unmöglich sein, die Session an eine IP oder an den Browser zu binden, insofern sind Cookies schon besser...
Also ich speichere das Passwort überhaupt nicht im Cookie, bei mir gibts nur die verschlüsselte User-ID...den Rest erledige ich immer über das Datenbank-Backend.. So musst du halt nur eine User-Variable überprüfen...die restlichen Informationen rufst du dann über die User-ID aus der Datenbank ab.

Wenn der Bann sofort greifen soll, fällt mir spontan ein, dass du eine Datenbank-Spalte mit 'user_logged', benennst, da speicherst du einen bool'schen Wert, also entweder 'true' wenn der User online ist oder 'false' wenn er nicht angemeldet ist, wenn du einen User dann schmeissen möchtest, setzt du z.b. per Formular den Wert auf false, lässt dann beim ziehen der User-Informationen aus der Datenbank das ganze über

PHP-Code:


SELECT * FROM user WHERE user_id = '$user_id' AND logged = 'true'

bestimmen...
Dann setzt du halt die Cookie-Verfallszeit auf, als Beispiel, eine Stunde in der Vergangenheit und Ende...

Dürfte eigentlich kein sooo schlechter Ansatz sein...
Hoffe, du kannst damit was anfangen..

OffTopic:
Gute Nacht

Grüße, Dennis

**aXu** · 07.11.2007, 05:26

das würde dann heissen, ich soll so weitermachen wie bisher?

wenn du nur das pw speicherst, ist das nicht etwas "heiss"?
okay, da wäre die möglichkeit einen Algorithmus zu entwerfen.. Aber das würde dann heissen, das wirklich bei jedem seitenaufruf das ganze geprüft wird. dachte das könnte ich per session verhindern...

**dani_o** · 07.11.2007, 08:28

Ich persönlich nutze lieber sessions - ma so nebenbei bemerkt - okay cookies sind toll, allerdings speichere ich bsp die Userdaten in ner session mit nem individuellen string ;-)

**PHP-Desaster** · 07.11.2007, 08:49

Daten, denen du vertrauen willst, gehören Serverseitig gespeichert, also in die Session damit!
Da immer noch ein paar Leutchens ohne Cookies durch die Welt wandern, brauchst du bei deiner Lösung auch einen Workaround, um die Userid und den PW-Hash per GET oder sonstwie weiterzugeben. Das ist in der Session schon komplett implementiert (wenn du das Rewriting aktiv hast, sonst SID an die Links ankleben).
Auf solche Cookielösungen würde ich generell verzichten und die Session nutzen! Spätestens, wenn du auch mal mehr, als nur eine ID irgendwo speichern willst, musst du dir wieder ein neues Cookie anlegen, die Datenbank nutzen oder whatever!

Grundlagen lernen, Session einsetzen!

**aXu** · 07.11.2007, 09:08

und was ist mit dem einwand:

einfacher zu handlen find ich sie persönlich schon, allerdings musst du iwie sicher stellen, dass die Session nicht geklaut wurde, leider verändern einige ISP's wie etwa AOL, die IP-Adresse und auch den User-Agent während der Sitzung, also dürfte es nahezu unmöglich sein, die Session an eine IP oder an den Browser zu binden, insofern sind Cookies schon besser...

**PHP-Desaster** · 07.11.2007, 09:16

Wenn du jetzt eine Session verwendest und der User keine Cookies akzeptiert, wird die SID in der URL übergeben. Wenn du jetzt jemandem diese URL schickst und der sie verwendet, solange du zum Beispiel noch angemeldet bist, kann der andere User deinen Login verwenden, da er deine SID kennt.
Das gleiche geht aber auch, wenn dein "böser" Freund dir deine Cookies ansieht, beispielsweise mit der Webdeveloper Toolbar. Dann kann er dir auch deine User-ID mopsen. (Szenario: Internetcafé)
Als Pseudoschutz vor diesem Diebstahl merken sich viele die IP des Users in der Session. Ändert sich diese, wird die Session geleert, keiner kann deinen Login klauen. Da manche Anbieter, zum Beispiel AOL, aber mal "einfach so" deine IP ändern, während du am Surfen bist, ist dies natürlich eher hinderlich, da das System denkt, du klaust die Session!
Aber bei deinem Session-Mini-Nachbau (nichts anderes ist deine Cookielösung) existiert genau das selbe Problem!
Nutz die Session und überleg dir lieber andere Schutzmechanismen. Ich persönlich habe aber noch nie die Erfahrung gemacht, das jemand eine Session übernimmt. Viel wichtiger ist das vernünftige Behandeln von SQL-Injections und anderen, viel größeren Sicherheitslücken!

**aXu** · 07.11.2007, 09:43

hm.. okey, werde dann mal in der literatur zum thema session nachschlagen.

wegen den eingaben: ich verwende standardmässig stripslashes(htmlentities()) auf jegliche eingaben. dazu werden keine undefinierten variablen verwendet und ich versuchte möglichst alles safe_mod kompatibel zu coden. denke ich bin da auf einem guten weg oder?

//edit

wenn die unterlagen stimmen, dann kann der User die Daten in der Session in keinem fall verändern?

**PHP-Desaster** · 07.11.2007, 11:17

wegen den eingaben: ich verwende standardmässig stripslashes(htmlentities()) auf jegliche eingaben.

Dazu gibt es die Escape-Funktionen, z.B. mysql_real_escape_string.

dazu werden keine undefinierten variablen verwendet

Sowieso immer Pflicht!

und ich versuchte möglichst alles safe_mod kompatibel zu coden.

Diese Orientierung kann imho zu einem besseren Programmierstil verhelfen!

wenn die unterlagen stimmen, dann kann der User die Daten in der Session in keinem fall verändern?

Richtig!

**combie** · 07.11.2007, 12:13

und ich versuchte möglichst alles safe_mod kompatibel zu coden.

Naja....
Eine der dümmsten Erfindungen der PHP Entwickler.. und wird zum Glück mit magic_quotes in PHP6 abgeschafft.

**PHP-Desaster** · 07.11.2007, 12:30

Naja....
Eine der dümmsten Erfindungen der PHP Entwickler.. und wird zum Glück mit magic_quotes in PHP6 abgeschafft.

In Version 6 verliert PHP zum Glück einige Kinderkrankheiten!
Aber als Orientierung finde ich safe_mode ok, also vernünftige Dateizugriffe etc.

**combie** · 07.11.2007, 12:57

also vernünftige Dateizugriffe etc.

Klar!! ??? !!

Verzeichnisse und Dateien IMMER mit den FTP-Funktionen erzeugen, damit man sie mit den PHP-Filesystemfunktionen dann wieder lesen kann

sehr witzig

Sorry, für den Sarkasmus, aber der Safemode hat mich schon öfter Wahnsinnig gemacht. Auf meinem Server lief auch ursprünglich PHP als Modul im Safemode. Habe ich mittlerweile umgestellt. suPHP ist für mich das Mittel der Wahl.

das Linux Rechtesystem greift
kein Basedir notwendig
z.Z. 5 verschiedene PHP Versionen installiert(auch PHP6)
leider deutlich lahmer !!!!!

**PHP-Desaster** · 07.11.2007, 13:08

Hmm, ich habe mir safemode grad nochmal angesehen und ich muss mich korrigieren. Ist natürlich Unsinn! Darum: Was heißt denn "und ich versuchte möglichst alles safe_mod kompatibel zu coden"??

**aXu** · 07.11.2007, 14:51

okay, ist relativ einfach. ich teste und entwickle mein tool im safe_mod. egal ob danach auf dem zielsystem der safe_mod aktiv ist oder nicht. oder mach ich da einen überlegungsfehler?

**combie** · 07.11.2007, 15:23

Hmmm...
Ich schreibe grundsätzlich nicht für den Safemode!! Wenn es dann wirklich unbedingt gewünscht wird, gibts Spezialanpassungen. Aber es ist längst nicht alles machbar!!

[PHP5] Anfängerfragen zu session's