Прочитал эту статью на хабрахабре про защиту сессий и мне показалось, что представленные в ней варианты защиты фуфло. Я использую совсем другую защиту. Хочу чтобы вы рассудили кто прав. А то может всё наоборот и на самом деле это моя защита фуфло.
Для входа в админку у меня есть файл admin.php в котором хранятся логин и пароль, а так же имеется файл session_protection.php, в котором хранится защитный ключ. Выглядит это так:
admin.php:
<?php
$login = 'admin'; // логин админа
$pass = 'qwerty'; // пароль админа
?>
session_protection.php:
<?php
$session_protection = '1-lkfjhlkjhrl435l@#$'; // ключ для защиты сессии
?>
При входе в админку сравниваем логин и пароль, которые ввёл юзер и если они совпадают, то присваивается сессия админа, которая равна переменной $session_protection, т.е. защитному ключу:
$_SESSION['admin'] = $session_protection;
И далее показываем панель управления сайтом.
Если же кто-то захочет подделать сессию и присвоить сессии с именем admin любое другое значение, не совпадающее с ключём, то сработает код ниже и выйдет сообщение, что его определили как взломщика и хрен он что получит, а не доступ к панели управления сайтом :)
if ($_SESSION['admin'] != $session_protection)
{
echo 'Вы наглый взломщик и поддельщик сессии!';
}
Как Вам такой вариант защиты? Он хороший или ерунда? А то я не такой мастер в php и могу ошибаться.