сессии

[Русская мафия]

делаю авторизацию.
вопрос: безопасны ли сессии? можно их подделать? достаточно ли того, что в сессии я буду указывать чисто id юзера? и на сайте проверять этот id, и авторизовывать его под своим ником.

или лучше в сессиях хранить логин и пароль(в md5)? и сверять с базой, после чего авторизовывать его под своим ником.

[Atomic]

безопасны ли сессии?

подобные вопросы вызывают улыбку, много зависит от вас, не менее и от хостера.

буду указывать чисто id юзера

Лучше несколько параметров привязывать

(в md5)

черт его знает, по моему это до дупы, если залезут в папку на хвостинге, то уже никакие хеши не помогут, какбэ

[ahsinis]

на самом деле без разницы что вы храните в сессии, id или md5().
если вас ломанули, то это одно и тоже (md5 - больше нагружает базу данных)

[Последний Герой]

Русская мафия, храните файлы сессий лучше внутри домашней папки хостинга, но вне папки сайта, будет чуток безопаснее.
если интересует вопрос о том, как сессии реализованные средствами пхп выглядят для браузера, то это просто название сессии и ее "номер" (к примеру PHPSESSION=ab291ade1ade1adeab291ade1ade1ade), без данных самой сессии, а все данные хранятся в файле соответствующим "номеру" сессии.

Добавлено через 58 секунд

Сообщение от ahsinis

md5 - больше нагружает базу данных

это еще смотря что и как реализовано.

[boric]

Русская мафия
Только отключите передачу идентификатора сессии через URL (?phpsession=....), пусть они храняться в куках. При передаче через урл этот id сессии может фиксироваться в логах вебсерверов тех сайтов, которые вы посещали, ну и этими сайтами могут перехватываться (см. заголовок refferer).

[Anadonam]

Русская мафия, " у тя немного неправильное понятие наверно
- логин и пароль хранить нужно в БД - сессия это сессия (в ней можно хранить самые раззые переменные ) например если логин и пароль совпали - - то в сессии хранишь 1(одын)
- md5 ничего не нагружает! функция как функция (а данные хранятся в текстовом виде)

попробуй почитать книги по php работа с сессиями не обязательно лесть в серию проф - например в серии книг для чайников нормально расписано (на пальцах) - ничего смешного!

помоему ты какт о уже поднимал вопрос про авторизацию? но могу спутать )..

главное, спрашивай не спрашивай - не пися не научишся ! когда будешь писать ты сам поймешь слабые места

[ahsinis]

Anadonam, ну во первых, md5 функция, которая делает лишнюю работу, во вторых, как он собрался пароль и логин из md5-хеша извлекать?
Значит будет выборку пользователя по ключу с этим хешем делать, а это дольше чем выборку по целочисленному индексу делать.
Да и вообще md5 это какое-то горе от ума в данном случае.
Единственно, что это может чуть усложнить взлом, если на стороне сервера, кто-то файл сессии перепишет. В этом случае ID пользователя проще узнать чем, md5 хеш, который храниться в базе (например, на форумах ID можно по ссылке на профиль видеть).
Но если файлы сессии могут на стороне сервера менять, надо хостера менять (ну или менять стандартный механизм сессий и хранить их в базе данных)

[Последний Герой]

Сообщение от Anadonam

- логин и пароль хранить нужно в БД - сессия это сессия (в ней можно хранить самые раззые переменные ) например если логин и пароль совпали - - то в сессии хранишь 1(одын)

пароль может поменять из другой сессии

Сообщение от Anadonam

- md5 ничего не нагружает! функция как функция (а данные хранятся в текстовом виде)

подсчет md5 это нагрузка

Сообщение от Anadonam

например в серии книг для чайников нормально расписано (на пальцах) - ничего смешного!

это то, что читать нельзя ни в коем случае

Сообщение от ahsinis

Но если файлы сессии могут на стороне сервера менять, надо хостера менять (ну или менять стандартный механизм сессий и хранить их в базе данных)

а авторизацию к базе где хранить, если не в файлах?

[Anadonam]

Сообщение от ahsinis

Anadonam, ну во первых, md5 функция, которая делает лишнюю работу, во вторых, как он собрался пароль и логин из md5-хеша извлекать?

его не надо из хеша извлекать - прям в хеше в базе и хранят
md5 односторонняя функция - и незачем вам чт то с помощью нее извлекать - оно для этого не предназначено - никто пароль в сессии не хранит!

для порталов там хрянят тока данные юзера - чтоб писать "Вася ты на сайте здравствуй". и всё

- перехватить да есть способы - а толк ? ведь пароль там не храним...

у вас скорее троян из браузера (из формы) пароль свистнет - нежели кто то перехватывать сесию будет..)

[Последний Герой]

Сообщение от Anadonam

файлы сессии по окончании работы уничтожаются

разве?