Обычная авторизация только с использованием JS (AJAX).
Серверная часть как обычно, проверяет каждый запрос на соответствие авторизации и если нет то, если был ajax запрос выводит информацию обработчику, если обычный запрос и вывод страницы то как обычно
Просто на клиенте JS обработчик должен всегда перехватывать ответы сервера и проверять информацию о не успешной авторизации пользователя, а это достигается единственной точкой отсылок AJAX запросов.

Нет, не обязательно, сервер работает всегда в одном режиме проверки, только вывод в браузер производится разными способами. Например если без перезагрузки, то JSON форматом можно уведомлять о сбое авторизации, если таковой был.

Проверка авторизации должна обязательно быть серверной иначе при использовании куки флага можно легко их удалить или подменить. Хотя, есть кука, она хранит хэш сессии.

Guest

Я вот не пойму...сайт загружен, сервер ждет от клиента действий. Через функцию JS в обработчик на сервер пришел запрос, на файл написанный на PHP, файл этот в данный момент автономный, он не видит сессию юзера, к примеру, все, что он может взять это что-то вытащить из физической памяти сервера, а не из оперативной. Конечно данные можно хоть JSON отправить, а можно и просто в строчку написать причем здесь это?

Можешь написать, что будешь делать внутри PHP обработчика, чтоб узнать пришел запрос от авторизированного юзера или нет?

Я и пишу про PHPSESSID, про эту куку. Отсылаем id юзера и смотрим совпадает ли она с той что хранится в БД.

Я ж и говорю :)
обычная централизованная авторизация
В index.php:

session_start();
// как вариант  if(isset($_REQUEST['session'])) session_id($_REQUEST['session']);
// в YII это более читаемо Yii
if (!isset($_SESSION['user_id'])) 
{
    echo json_encode(array('result' => 'error', 'action' => 'auth', 'msg' => 'Auth not required!'));
    exit();
}

По данным полученным от сервера, если результат ошибка обработчик сам определяет что ему делать. Здесь гибкость в том что обработчик может определять не только ошибки авторизации, но любые типизированные ошибки.

Guest

Если нужно отделить от обычных запросов

session_start();
// как вариант  if(isset($_REQUEST['session'])) session_id($_REQUEST['session']);
// в YII это более читаемо Yii
if (!isset($_SESSION['user_id'])) 
{
    if(isset($_SERVER['HTTP_X_REQUESTED_WITH']))
    {
         echo json_encode(array('result' => 'error', 'action' => 'auth', 'msg' => 'Auth not required!'));
         exit();
     }
    else
    {
         if (!headers_sent()) header('Content-type: text/plain');
         echo $error_page;
    }
}

Guest

Где этот код должен быть в index.php или обработчике запроса JS?

Вот обработчик и по совместительству единственный, который отправляет AJAX запросы, на JQuery

$.ajax({
            url:  url,
            data: data,
            dataType: 'JSON',
            async: true,
            error: function()
            {
                new Error('Bad request for server URL: ' + url);
            },
            success: function (data, textStatus)
            {
                if(data['redult'] == 'error') 
                    // Действия по обработке ошибки
                 else
                     // Нормальный сценарий работы
            }
        })

Guest

Я наверное тупой совсем.

Не могу понять, функция JS

$.post("TEST.php", {queryString: ""+inputString+""}

отсылает inputString в виде $_POST['queryString'] в TEST.php

причем здесь index.php?

Перезагрузки страницы нет. Index.php уже отработал.

A.B.C. если сессии на куках (а это обычный вариант), то сессионная кука на сервер будет идти и при аякс запросе. И в обработчике запроса так же стартуешь сессию и тоже самое все доступно что и при обычной работе с перезагрузкой страницы.

Guest

Можешь посоветовать инфу где почитать про

Guest

Спасибо.

http://habrahabr.ru/post/115389/

Guest

Еще раз хочу сказать спасибо.
Понял, чего ты добивался, чтоб я понял. )) Действительно централизованный вход это супер!