Lies da weiter:
http://de3.php.net/session_set_save_handler

In den Userkommentaren gibt es Beispiele oder Ansätze, wie man einen DB-gestützen Sessionbetrieb organisieren kann.

Nur so, daß Du alles tust, daß die Session_id nicht bekannt wird.

Und das bedeutet: Session-/Prozeß-Cookies, weil dort die Session_id nicht im Link auftaucht.

Bei Usern mit eingeschränkten Rechten kannst Du ja einen Fallback (Session_id im Link) vorsehen, aber bei Admins sollte Cookie Pflicht sein.

Noch größere Sicherheit ist nur mit SSL zu erreichen.

Mister Ad

Ich kenne Dein Script nicht, um diese Aussage treffen zu können. Ich selber mache es jedenfalls im Prinzip so wie geschildert:
Loginstatus true/false wird beim Login ermittelt und kommt in die Session. Im Keks ist nur die Session_id. Der Loginstatus wird bei jedem weiteren Request geprüft.

Beim Logout wird das Sessionarray so wie angegeben gelöscht, Loginstatus = false gesetzt, session_write_close() ausgeführt und ein header('Location: http://hostname/index.php')
abgeschickt.

Der User hat dann zwar noch den Prozeß-Keks incl. Session_id, aber der Loginstatus ist false. Damit ist er ein "unbeschriebenes Blatt".

Stümper

@Meikel: jetzt habe ich, so glaube ich zumindest, verstanden, was Du meinst: Die Session wird nicht gelöscht, sondern nur der Inhalt des Arrays geschrottet, und kann wieder aufgenommen werden, da aber dER LOGIN Status dadurch false wird, weisst du, dass die Sitzung beendet worden ist.

ich möchte aber eigentlich erreichen, dass die session nicht wieder aufgenommen werden kann. Das klappt mit session_destroy eigentlich. Zusätzlich habe ich jetzt noch deine Idee eingebaut: d.h. bevor ich session detroy aufruf, führe ich mit login-variable ein unset durch und setze $_SESSIOn auf ein leeres array.

merci für die ratschläge und erklärungen

__________________
Zerstört alle Computer!

Das kann man nicht garantieren:
- wenn Session-Keks, dann schickt der Client den mit. Und wenn PHP zwischen den beiden Klicks das File noch nicht versenkt hat, existiert wieder eine gültige Session.
- selbst ohne Session-Keks kann die Session wieder aufgenommen werden, wenn die ID manuell mitgeschickt wird.

Sowas könntest Du nur dann garantieren, wenn Du Dir einen eigenen Session Handler basteln würdest, der dann nicht ein paar Minuten bis ein paar Stunden wartet, um das File zu killen, sondern sofort löscht.

session_destroy() löscht nicht selbst sondern teilt PHP mit, daß das File gelöscht werden kann. Löschen tut dann die 'Müllabfuhr'.