program90
храни в сессии только идентификатор пользователя все остальное вытягивай по необходимости из базы.

Не обязательно... Не всегда оправдано дергать базу на каждой странице, хотя при определенных условиях это необходимо.

Одно точно - паролю нечего делать ни в сессии, ни в базе, ни еще где-либо.

Спасибо и мне инфа помогла

Т.е. сессия нужна для того чтобы создать в ней число 1 или ноль? И потом при каждом обращении к серверу проверять установлена ли для данной сессии переменная в единицу или не установлена? Если установлена то везде пускать, а если нет, то ни открывать ни одной страницы кроме авторизации?

waldicom
twin
Т.е. пароль нужно закодировать в md5 и хранить в базе хэш? я так и сделал. а вот с авторизацией к страницам непонятно.

waldicom

twin правильно говорит - пароль не хранить - пароль запоминать нуно )))))))))))))).
шучу.

waldicom

Подскажите, пожалуста, как сделать, чтобы нельзя было создать две сессии с одинаковым id одновременно? Чтобы предусмотреть покражу сессии.

То есть предлагается выдать гражданину два паспорта с одинаковыми номерами и другими реквизитами с целью обезопасить его от кражи документа????

id на то и id, что он идентификатор. Тобишь штука сугубо уникальная

twin
просто я например у себя на компе зашел с mozilla в чат. В куки нашел содержимое id сессии и скопировал. Во втором браузере, Opera, в куки нашел старую сессию, и записал туда номер сессии из mozilla. И без логина и пароля сразу зашел в чат. Т.е. мне стали доступны все переменные сессии.
Просто непонятно как сделать, чтобы если кому то станет известен id, то он не смог на своем компе зайти под моей сессией?
В книге об этом не нашел толком. Может при авторизации записать remote_addr в базу данных, рядом с логином. А потом проверять каждый раз, вроде сошлось или нет.

program90
Кража кук известная беда чтоб усложнить кражу в куки пишут инфу о юзер агенте то бишь бравзере но не в открытом виде а хеш какой нибудь соленый. при проверки проверяешь наличие такой куки сверяешь её содержимое с тем что получается у тебя если сходится то все окей если нет то на лицо воровство кук. Но это тоже не панацея куку можно поделать.

waldicom
;; А что с авторизацией? Один раз спрашиваем пароль и если успешно, то пишем в сессию.
;; А на нужных страницах проверяем в самом начале, есть ли в сессии специальное значение,
;; показывающее, что пользователь залогинился.
Проблема при таком подходе в том, что придется либо время жизни сессии зверски увеличивать (явная дыра в безопасности), либо заставлять юзверя каждый раз заново логиниться (;

Basili4
;;пишут инфу о юзер агенте то бишь бравзере
а что мешает злоумышленнику узнать браузер и поставить себе такой же? (; Если уж куки стырил, то инфу о браузере утащить сам кулхацкер велел (;

;;А для чего придумали куки?
а чего там хранить? id сессии? Бесполезно - она умрет. Хеш пароля? Возвращаемся к тому, что было (;

Я примитивен и очень туп. Во-первых никогда ни доверяйте данным от пользователь, пользователя нужно рассматривать как злоумышленника, который хочет взломать вашу систему то бишь сайт, поэтому в куках должен лежать очень сильно закодированный логин и пароль. Во-вторых, многие заблуждаются что нужно хранить пароли в базе как md5. Если разрабатывать нормальный сайт и везде эскайпить данные, продумывать защиту, то все будет отлично, а главное люди смогут восстанавливать свой пароль и система будет работать с чистыми данными, что не потребует от нас наращивание дополнительных абстракций.
Также есть некая теория по Информационной безопасности о стоимости хака и стоимости данных.

Что про мой опыт скажу, что я храню в сессиях: логин, id и некоторые служебные данные которые нужны для пользователя на сайт.

P.S: Вам не надоело перемалывать одни и те же вопросы по сто раз?

Надоело. Но приходится.
Потому что время от времени появляются вот такие горе-советчики и пишут такое:

waldicom
;;Как я вижу, опыта разработки у вас не так много?
Программистом не рождаются - им умирают (; Что именно предлагаешь загонять в куки?

twin
;;А вот паролю, хоть тышу раз закодированному в куках делать вообще нечего.
то ли ты хэширование не относишь к "закодированию" (что в принципе правильно, если под закодированным подразумевать то, что можно раскодировать), то ли ты сам себе противоречишь: на странице http://irbis-team.com/15/7/4 ты чпб пишешь:

<?php

/**   
* Function of installation of an autologin   
* Функция установки автологина   
* @param integr   
* return void   
*/ 
    function setAutologin($id) 
    { 
        $hash = md5(randStr() . $id); 

        setcookie('hash', $hash, time() + 3600 * 24 * 30, '/'); 
     
        $res = mysqlQuery("UPDATE `". IRB_DBPREFIX ."user`  
                            SET  `hash` = '". $hash ."' 
                            WHERE `id` = ". (int)$id  
                         ); 

    }

А где тут пароль в куках?

twin
все, разобрался, пасиб

waldicom
вопрос снят (;

Basili4
;;пишут инфу о юзер агенте то бишь бравзере
еще один минус: юзверь решил обновить браузер или плагин на него поставить - инфа о браузере изменилась и придется перелогиниваться (;

Думаю не плохой подход - привязывать сессию к IP, да возможно с этого же IP в локальной сети зайдет злоумышленник, украдет хэш идентификации, и таки напишет на вашем аккаунте "вася дурак" но вероятность совпадения всех событий очень мала можно и логин с паролем захэшированными хранить в куках, и пароль в базе в открытом виде, и всем будет абсолютно пофиг, пока Ваш сайт не будет представлять какой-то реальной ценности. А если он действительно будет представлять такую ценность - то терморектальный криптоанализ никто не отменял

ясно. всем спасибо