dh1sbg

Hallo!

kann ich davon ausgehen, dass eine Session ID in PHP(5) eine Zahl ist, die in ein Long Integer Feld passt?

Vielen Dank für Eure Infos

Bruno

Mister Ad

dr.e.

Hallo dh1sbg,

die Session ID ist sowas ähnliches wie ein md5-Hash und enthält Zahlen (0-9) und Buchstaben (a-f). SInnvollerweise packst du das in ein Feld mit char(32) oder dergleichen und legst einen Schlüssel über das Feld.

__________________
Viele Grüße,
Dr.E.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
1. Think about software design before you start to write code!
2. Discuss and review it together with experts!
3. Choose good tools (-> Adventure PHP Framework (APF))!
4. Write clean and reusable software only!
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Weyoun

Einen 8-16 stelligen Schlüssel der wiederum aus Groß- und Kleinbuchstaben sowie Zahlen besteht, mit dem ich einem Benutzer später die Session ID wieder eindeutig zuweisen kann? Muss ich diesen Schlüssel dann auch im Cookie der Session speichern?

__________________

dr.e.

Hallo Weyoun,

Die Frage verstehe ich nicht ganz?! Was willst du mit der Session ID oder einer anderen ID bezwecken? Sessions dienen allgemein der Identifikation von Benutzern innerhalb eines Besuchs einer Webseite. Möchtest du Benutzer innerhalb einer Datenbank identifizieren, ist hierzu ein Primary Key mit auto_increment besser geeignet.


Die Session ID ist für dich innerhalb des PHP-Codes immer verfügbar, wenn eine Session gestartet wurde. Du kannst diese bei Bedarf mit session_id() abrufen.

__________________
Viele Grüße,
Dr.E.

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
1. Think about software design before you start to write code!
2. Discuss and review it together with experts!
3. Choose good tools (-> Adventure PHP Framework (APF))!
4. Write clean and reusable software only!
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Zergling-new

Ist der erste Satz eine Frage? Erstell doch einfach eine Session und lass dir den Wert anzeigen, dann siehst du ja wie diese Session ID aussieht.
http://de.php.net/session_id

Zur zweiten Frage: Um die Erhaltung der Session-ID musst du dich üblicherweise nicht kümmern. Höchstens bei JavaScript-Weiterleitungen musst du die Weitergabe der Session-ID über die URL explizit angeben, falls der Benutzer Cookies deaktiviert hat.
Bei Links und Formular-Actions übernimmt das PHP.

Weyoun

Eigentlich meinte ich damit folgendes:

Ein Benutzer loggt sich in die Administration ein. Er bekommt eine Session ID zugewiesen, die im Cookie gespeichert wird. Soweit klar. Er macht den Browser zu und loggt sich nicht aus. Somit bleibt die Session erhalten. 1 Minute später kommt er wieder und wird somit automatisch eingeloggt, da die Session noch aktiv ist. Wenn aber jetzt irgendjemand seine Session ID (durch URL Übermittlung, weil auf dem "Einsatzserver" keine Cookies für Sessions erlaubt sind, was weiß ich) bekommen hat, könnte der sich doch genau so als "Er" einloggen, und hätte somit alle seine Rechte. Mit dieser 8-16 stelligen ID könnte man dann doch jedoch überprüfen ob er es wirklich ist.

Das ginge natürlich auch mit IP oder Browserheader aber das ist mir ehrlich gesagt zu ungenau. Bei AOL Benutzern z.B. ändert sich die IP doch alle 2-3 Klicks durch die AOL Proxys. Wie würdet ihr das denn überprüfen?

__________________

Zergling-new

Ich verstehe jetzt nicht so ganz wie deine 8-16 stellige ID das verhindert.
Du kannst einen User nicht eindeutig identifizieren - mit einem Cookie kannst du es zumindest versuchen.

Weyoun

Wenn die 8-16 stellige ID ebenfalls im Cookie gespeichert wird, dann wird die Session ID mit der anderen ID verglichen ob sie mit den Daten in der Datenbank übereinstimmen. Soll heissen beim Einloggen werden beide IDs (Session und die andere) in dem Datensatz des Benutzers gespeichert. Kommt er wieder gibt es den Abgleich. Ein Benutzer der die Session ID per URL Übermittlung erhalten hat, hat keinen Cookie der eine 8-16 stellige ID enthält, und ist somit auch nicht der Benutzer der sich nicht richtig ausgeloggt hat.

Sorry wenn ich da nen Denkfehler drin habe, aber bin da noch nicht so ganz bewandert auf dem Gebiet Sessions.

__________________

Zergling-new

Wenn die Session-ID im Cookie gespeichert wird, kann ein Fremder auch nicht die Session eines anderen übernehmen, es sei denn er kopiert das Cookie gleich auch noch mit. Dann ist deine 8-16 stellige ID aber auch mitkopiert.

Die Session-ID ist für den Benutzer ja nur in der URL ersichtlich, wenn er zumindest dieses Cookie abgelehnt hat. Dann kannst du dich aber nicht darauf verlassen, dass er ein weiteres Cookie mit deiner 8-16 stelligen ID akzeptiert.

Weyoun

Ja damit hast Du offensichtlich recht. Dann wird mir wohl nichts anderes übrig bleiben, als den Benutzer doch per IP und Browserheader zu überprüfen.

__________________