veilig van de ene sessie naar de andere

Door Harry nvt op 18-02-2011 02:51

1.929 views

"Conceptuele" vraag, niet echt beginners.
Op een site wil ik een login-systeem bouwen, waarbij na login naar verschillende onderdelen kan worden gegaan. Het log-in gedeelte met z'n eigen DB-tabel bevat de algemene gegevens (adres,loginzaken etc) en heeft een sessie in eigen folder. Daarvanuit wordt gegaan naar andere onderdelen, een advertentiebank, eigen folder, eigen sessie, eigen DB-tabel, en nog wat onderdelen, met steeds weer eigen folder, eigen sessie enz.
Waar ik over brainstorm is, hoe ik veilig van de ene sessie naar de andere kom. De vervolgsessie moet weten dat er is ingelogd, en wie. In alle tabellen komt een gemeenschappelijk whois_id (noem maar wat), waarmee het 'wie' is op te lossen, maar hoe geef ik die whois_id het beste door... Dacht aan gewoon $_POST in combinatie met een login-flag in de DB die bij doorklikken aangezet wordt, en in de vervolgsessie direct weer wordt uitgezet en vice-versa. Of via een cookie waarin de whois-id wordt gestored en weer opgehaald, ook evt. weer in combi met zo'n login-flag in de DB.

Dit probleem zou overigens niet bestaan als ik één sessie voor alles zou hanteren, een root-sessie waarbij die voor alle directories geldt, maar ik heb het idee dat verschillende sessies op directory nivo met hun eigen session-save path veiliger is. Misschien is dat wel een illusie.

Ik gebruik geen php authentication; heb de login-authenticatie zelf gebouwd.

Hoop dat deze brainstorm vraag beetje duidelijk is.

Ocirina Ocirina

18-02-2011 09:20 gewijzigd op 18-02-2011 09:21

Je zou zodra de inlog is voltooit een ses_id in de session zetten.
En die ook in de DB opslaan, zodra die zegt van ses_c bestaat vergelijken in de DB.
Dus als volgt: iemand log in-> select whois id en maak met de id en gebruikersnaam een ses id. Dmv md5 en een salt.
Sla dit id op, in de session verander je niks. Op de volgende paina, maak je van je id en gebruikersnaam weer de zelfde ses_id.
Controleer dit id met wat er in de DB staat, als dit goed is toon menu en anders, opnieuw inloggen.

Ik hoop dat je xoiets bedoeld? Mvg.

Pim -

18-02-2011 10:22

Dat is inderdaad een illusie. De session identifier (meestal de cookie) heeft alleen het doel de ene (ingelogde) gebruiker van de andere te onderscheiden - authenticatie. Welke rechten die gebruiker dan heeft is een ander systeem - autorisatie.

Je zal een ander mechanisme moeten verzinnen om die componenten gescheiden informatie te geven, meerdere sessies is geen goed idee.

Reageren

Inloggen om te reageren