Sicherheit beim login

[BlackScorp]

Sehe ich genau so.
Wenn de Benutzer einmal authetifiziert wurde, kann man seine Daten, welche öfter auf der Seite gebraucht werden (könnten), wie der Benutzername, letztes Login oder weiß der Geier was, auch in der Session speichern.

jo und was wenn der benutzer seine daten weitergibt und beide arbeiten gleichzeitig auf einer seite und machen irgendwas? wie will man es verhindern dass die aktionen sich nicht überschneiden? also vor aufruf jeder seite den user neu identifizieren , würde doppelte logins nicht möglich machen.

@Florian die daten liegen zwar auf dem server, jedoch kann ein benutzer durchaus seine daten weitergeben für irgendwas anderes oder ausversehen in einem internet cafe abspeichern..

[Paul.Schramenko]

Wenn der zweite benutzer sich einloggen möchte, kann dort eine Sperre reinsetzten!
Meiner Meinung nach hat jeder Benutzer seinen Account, und sollte sich daher nicht zweimal anmelden dürfen!

[BlackScorp]

Meiner Meinung nach hat jeder Benutzer seinen Account, und sollte sich daher nicht zweimal anmelden dürfen!

finde ich auch, desswegen gebe ich ihm garnicht erst die möglichkeit dazu eben weil ich jedesmal eine sql query an server schicke und prüfe die session ids

[Gast]

Das ist auch ein Teil der Problematik, die ich weiter vorn angesprochen hatte.

Meiner Meinung nach hat jeder Benutzer seinen Account, und sollte sich daher nicht zweimal anmelden dürfen!

Und wie verhinderst Du, dass sich der User durch Schließen seines Browsers selbst aussperrt?

[BlackScorp]

Und wie verhinderst Du, dass sich der User durch Schließen seines Browsers selbst aussperrt?

naja soll sich der user noch mal einloggen , nachdem er sein browser geschlossen hat.

ich habe aber da noch eine weitere spalte die ich login_id genannt habe, wenn der user vor dem login die checkbox für passwort speichern aktiviert, trage ich die neue session_id in ein cookie ein. beim aufruf der seite, prüfe ich ob der cookie belegt ist und vergleiche das cookie mit der login_id aus der datenbank. somit ist bleibt seine session quasi auch weiterhin bestehen.

gut wenn cookies deaktiviert sind , dann kan man auch nichts machen

[Paul.Schramenko]

ich würde das folgendermaßen lösen: 1. Benutzer meldet sich an, Eintrag in die DB mit IP oder irgendwas aderem. 2. Zweiter Benutzer meldet sich, wenn er bereits angemeldet ist, wird der erste Benutzer abgemeldet und der zweite angemeldet

[BlackScorp]

ich würde das folgendermaßen lösen: 1. Benutzer meldet sich an, Eintrag in die DB mit IP oder irgendwas aderem. 2. Zweiter Benutzer meldet sich, wenn er bereits angemeldet ist, wird der erste Benutzer abgemeldet und der zweite angemeldet

und du willst das prüfen indem du die IPs der benutzer abgleichst?

stell dir folgende situation:

ich lebe in einer WG mit 6 Mann, alle nutzen Facebook, dann könnten wir niemals gleichzeitig online sein, weil an den server kommt halt die gleiche IP an obwohl wir unterschiedliche rechner benutzen würden

[Paul.Schramenko]

Doch schon, mit anderen Accounts...

[BlackScorp]

Doch schon, mit anderen Accounts...

verstehe ich nicht.. erklär mal wie du das hier prüfst:

Zweiter Benutzer meldet sich, wenn er bereits angemeldet ist, wird der erste Benutzer abgemeldet und der zweite angemeldet

anhand welchen daten prüfst du ob der user bereits angemeldet ist? IP adresse?

[litterauspirna]

Doch schon, mit anderen Accounts...

Das geht nicht, das BlackScorp angesprochen hat bezieht sich auf die Rooter Problematik und wenn alle aus der WG zugleich online sind bei Facebook z.B. dann haben die alle die gleiche IP, weil die kommt vom Rooter. Und da hast du ein Problem, also IP dafür völlig ungeeignet.

[BlackScorp]

Und da hast du ein Problem, also IP dafür völlig ungeeignet.

toll ich wollte dass er selbst drauf kommt "Hilfe zur Selbsthilfe"

[Paul.Schramenko]

Es wird ja nur was gemacht, wenn sich jemand mit einem bereits angemeldeten Benutzer anmeldet. In einem bsp. 2 Personen an einem Router:
Benutzer1: angemeldet
Benutzer2: nciht angemeldet

Fall1:
Benutzer2 versucht sich anzumelden -> nicht angemeldet authentifiezieren -> ja: anmelden || nein: fehler.

Fall2:
Benutzer2 versucht mit Daten von Benutzer1 an zu melden -> nicht angemeldet authentifiezieren -> ja: Benutzer2 anmelden, Benutzer1 abmelden || Benutzer2 Fehler anzeigen


Nachtrag:
IP kann man zusätzlich mitspeichern für irgendwas muss man ja net umbedingt dafür verwenden, auf jeden Fall founktioniert dieses Prinzip

[BlackScorp]

Benutzer2 versucht mit Daten von Benutzer1 an zu melden -> nicht angemeldet authentifiezieren -> ja: Benutzer2 anmelden, Benutzer1 abmelden || Benutzer2 Fehler anzeigen

ja das ist mir schon klar die frage war ja, wie machst du das?

also
Benutzer1: angemeldet
Benutzer2: nichtangemeldet

Fall 1:
Benutzer1: logt sich ein -> daten sind richtig -> was wird gespeichert? IP Adresse?

Fall 2:
Benutzer2: will sich einloggen mit den daten von Benutzer1
Benutzer2 gibt daten ein -> daten sind richtig -> woran erkennt das script dass der Benutzer1 Bereits angemeldet ist? IP Adresse?

also als beispiel gehe ich in meinem script so vor:

Benutzer 1: kommt auf meine seite, session_start() , benutzer1 kriegen eine session_id().

Benutzer1: gibt userdaten ein -> daten sind richtig -> session_regenerate_id() -> neue session wird in die datenbank gespeichert.

Benutzer2: gibt userdaten von benutzer1 ein -> daten sind richtig -> session_regenerate_id() -> neue session wird eingetragen -> alte session wurde überschrieben.

Benutzer1: klickt auf "PM lesen" -> die session_id des Browsers wird mit der session_id aus der datenbank vergliechen -> es gibt keine übereinstimmung -> benutzer 1 wird aufgevordert sich einzuloggen- > er loggt sich ein und die session_id in der datenbank wird wieder überschrieben

benutzer2 : will was machen und seine session_id steht nicht mehr in der DB..

durch die session_id werden die benutzer rausgekickt

[nikosch]

jo und was wenn der benutzer seine daten weitergibt und beide arbeiten gleichzeitig auf einer seite und machen irgendwas? wie will man es verhindern dass die aktionen sich nicht überschneiden?

Ich sehe hier das Problem überhaupt nicht! Solange Du alles in der Session hältst, kannst DU auch parallel arbeiten. Ich kann auf php.de auch auf verschiedenen Servern gleichzeitig eingeloggt sein. Und alle Aktionen die ich wo auch immer tue, laufen dann auf meinen Namen. Ganz normal.

[Paul.Schramenko]

Klar kann man das auch so programmieren, aber es geht darum, dass man garantieren möchte, dass ein Benutzer maximal einmal angemeldet ist.
Naja du speicherst zum Beispiel die Benutzerkennung, userID , oder weiß der Geier was. Was dir eben am besten gefällt und den Benutzer eindeutig identifiziert.
Und nach dieser Kennung prüfst du dann einfach ab.