Sicherheit beim login

[Nixton]

Ich bin dabei einen geschützten Memberbereich für meine Seite zu programmieren. Meine Frage ist nun ob es reicht nach dem absenden der logindaten diese einmalig mit der mysql datenbank abzugleichen und bei erfolg eine variable wie $_SESSION['login'] auf true oder 1 zu setzen, und diese dann auf jeder Seite zu prüfen, oder es aus sicherheitsgründen zwingend notwendig ist auf jeder seite eine function zu haben, die die daten gegen die datenbank überprüft.

Mfg

[Paul.Schramenko]

Nein es reicht diese nachdem sie einmal überprüft wurden und bei positiver Authetifizierung in die Session zu schreiben und im fortlaufenden Skript nur noch auf die Session-variable zu prüfen.
Außerdem Schreibt man niemals die Logindaten in die Session sondern irgendwelche Flags wie "isAuthorized" oder sowas in der Art. Benutzername & PW gehören nicht in die Session!

[Nixton]

Danke für die rasche Antwort.

[Gast]

Ansonsten kann es auch passieren, dass Du z. B. einem Benutzer etwas verbietest oder ihn löschst, aber für den Rest der Session kann er noch machen, was er will.

[Flor1an]

Außerdem Schreibt man niemals die Logindaten in die Session sondern irgendwelche Flags wie "isAuthorized" oder sowas in der Art. Benutzername & PW gehören nicht in die Session!

Und wie möchtest du dann einen User identifizieren? Mit isAuthorized wohl nicht. Daher brauchst du zumindest schonmal die ID des Users in der Session. Wieso du den Username nicht in der Session speicherst ist mir auch ein Rätsel. Das man natürlich Passwörter nicht in die Session speichert ist klar. Beim Rest sehe ich da kein Problem.

[Gast]

Die ID muss gespeichert werden. Wozu aber (außer vielleicht aus Caching-Gründen) sollte der Username gespeichert werden?

[Flor1an]

Weil du eigentlich auf jeder Seite den Usernamen anzeigst, wieso sollte ich dafür immer eine eigene DB Abfrage machen?

[Paul.Schramenko]

Und wie möchtest du dann einen User identifizieren? Mit isAuthorized wohl nicht. Daher brauchst du zumindest schonmal die ID des Users in der Session. Wieso du den Username nicht in der Session speicherst ist mir auch ein Rätsel. Das man natürlich Passwörter nicht in die Session speichert ist klar. Beim Rest sehe ich da kein Problem.

Ich meinte ja eigentlich auch die Kombination von Benutzername & Passwort, dass man eine Benutzerkennung mitgeben muss, sei es in Form eines Namen oder einer ID ist ja eigentlich auch klar.
Das Passwort gehört unter keinen Umständen in die Session.

[Gast]

Weil du eigentlich auf jeder Seite den Usernamen anzeigst

Wieso denn das? Du kennst doch meine Seiten nicht.. Dazu kommt immer noch das:

Ansonsten kann es auch passieren, dass Du z. B. einem Benutzer etwas verbietest oder ihn löschst, aber für den Rest der Session kann er noch machen, was er will.

[Arne Drews]

Wieso denn das? Du kennst doch meine Seiten nicht..

Naja, aber ein Memberbereich, bei dem der User nicht sehen kann, als wer er eingeloggt glänzt schon mit etwas Sinnfreiheit...
Daher finde ich es auch besser, den Usernamen mit in die Session zu nehmen, anstatt jedes Mal die DB zu bemühen.

[BlackScorp]

am besten ist:

nach der eingabe der richtigen daten, session_id() neu generieren, und die session_id() in die datenbank zu schreiben zu dem user.

vor aufruf jeder seite, die benutzer ID aus der datenbank auslesen WHERE session_aus_db = session_id();
dabei die benutzer ID in eine session speichern.

und schon hat man einen user eindeutig identifiziert und kann seine daten anhand der userid zuordnen

[Paul.Schramenko]

Naja dabei haste bei jedem Seitenaufruf eine SQL um den benutzer zu identifiezieren. Da das beim Authentifizieren bereits gemacht wird, ist es wohl einfacher, und IMHO auch sinnvoller, das ganze aus der Session zu holen.

[dr.e.]

Naja dabei haste bei jedem Seitenaufruf eine SQL um den benutzer zu identifiezieren. Da das beim Authentifizieren bereits gemacht wird, ist es wohl einfacher, und IMHO auch sinnvoller, das ganze aus der Session zu holen.

Aber nur dann, wenn die Session auch eine SSL-Session ist. Andernfalls ist das gleichbedeutend mit Nutzerdaten zum Download ins Netz stellen.

[Flor1an]

Inwiefern meinst du das? Die Daten in der Session liegen ja auf dem Server und werden nicht übertragen. Oder meinst du Cookie Diebstahl? Dann hast du aber wahrscheinlich das selbe Problem wenn die Daten aus der DB geladen werden und dann angezeigt werden.

[Paul.Schramenko]

Sehe ich genau so.
Wenn de Benutzer einmal authetifiziert wurde, kann man seine Daten, welche öfter auf der Seite gebraucht werden (könnten), wie der Benutzername, letztes Login oder weiß der Geier was, auch in der Session speichern.