session problem

[kabi]

hallo,

ich bin gerade etwas gestresst und stehe etwas unter zeitdruck...
ich habe am freitag eine seite aufgeschaltet bei der sich leute einloggen können. hierfür benutze ich sessions. jetzt mein problem: auf google findet's wenn man nach der seite sucht links, an die session-id's angehängt sind. ich hatte mich eingeloggt und mein kollege nebendran suchte dann auf google die seite und hatte automatisch adminrechte, weil er durch den google-link dieselbe session zugewiesen bekommen hatte wie ich, was gar nicht gut ist.

ich bin leider nicht so sehr erfahren mit loginsystemen...

wie kann ich das problem lösen?

[ChrisB]

In dem du die Übergabe der Session-ID auf Cookies beschränkst.

[kabi]

danke,

aber was bedeutet das genau?

[mimomamu]

PHP-Konfiguration der Sessionverwaltung anpassen: http://www.php.net/manual/en/session.configuration.php. Insbesondere session.use_trans_sid, session.use_cookies und session.use_only_cookies.

[ChrisB]

Dass du jetzt das nachholen solltest, was du eigentlich schon hättest machen sollen, bevor du sowas programmierst - dich informieren.

Das Handbuch ist erste Anlaufstelle, das beschreibt alle Sessions betreffenden Einstellungen.

[kabi]

ich habe jetzt folgendes gemacht...

 ini_set("session.use_trans_sid",0);
 ini_set("session.use_cookies",1);
 ini_set("session.use_only_cookies",1); 
 session_start(); 

kann ich das so verwenden? es klappt glaube ich... oder was meint ihr?

[Shapehead]

ich habe jetzt folgendes gemacht...

 ini_set("session.use_trans_sid",0);
 ini_set("session.use_cookies",1);
 ini_set("session.use_only_cookies",1); 
 session_start(); 

kann ich das so verwenden? es klappt glaube ich... oder was meint ihr?

Ich würde das..

 session_start();
 ini_set("session.use_trans_sid",0);
 ini_set("session.use_cookies",1);
 ini_set("session.use_only_cookies",1); 

Nach oben setzen.. das es funktioniert hat, kann ich mir so nicht vorstellen..

ausserdem sollte man, denke ich mal das so schreiben

session_start();
$_SESSION("session.use_trans_sid",0);
$_SESSION("session.use_cookies",1);
$_SESSION("session.use_only_cookies",1); 

berichtigt mich wenn es nicht so ist ich hätte es jedenfalls so geschrieben..

[mimomamu]

Shapehead, du liegst vollkommen daneben. Es geht nicht darum, Sessionvariablen zu setzen. Es geht darum, wie die Session-ID dem Benutzer mitgeteilt wird. kabi hat's über die URL gemacht, das hat aber Nachteile. Die Konfigurationsänderungen soll bewirken, das das jetzt über ein Cookie gemacht wird. Sieht auch ganz gut aus so wie kabi es hingeschrieben hat.

[Shapehead]

Shapehead, du liegst vollkommen daneben. Es geht nicht darum, Sessionvariablen zu setzen. Es geht darum, wie die Session-ID dem Benutzer mitgeteilt wird. kabi hat's über die URL gemacht, das hat aber Nachteile. Die Konfigurationsänderungen soll bewirken, das das jetzt über ein Cookie gemacht wird. Sieht auch ganz gut aus so wie kabi es hingeschrieben hat.

Okay war ja ein versuch wert zu helfen

[kn0wledge]

ich habe jetzt folgendes gemacht...

 ini_set("session.use_trans_sid",0);
 ini_set("session.use_cookies",1);
 ini_set("session.use_only_cookies",1); 
 session_start(); 

kann ich das so verwenden? es klappt glaube ich... oder was meint ihr?

Du brauchst theoretisch nur

ini_set('session.use_only_cookies', 1); 

[litterauspirna]

Es wird dir aber nicht bei jedem Webhoster / Provider gestattet mal einfach so die ini Konfiguration zu ändern.

Von daher ist ja Möglich das der User keine Cookies akzeptiert und somit brauchst du es eben um eindeutig zu identifizieren, dass die SidId über die Browser Adressleiste an die URL angehangen wird.

Das heist sicher dein Loginsystem ab. Es gibt viele Wege wie du das machen kannst.

[mimomamu]

Du brauchst theoretisch nur

ini_set('session.use_only_cookies', 1); 

Das ist falsch. Wenn session.use_only_cookies eingeschaltet ist, und session.use_cookies ausgeschaltet ist, dann kann PHP keine Sessions wiederaufnehmen.