[Bug]Sessies en een reset op vreemde tijden

[mithras]

Ik merk de laatste tijd dat het niet zo goed gaat met mijn sessies. Ik maak hier heel erg veel gebruik van: ik reset mij sessie wanneer ik de topics in mijn MyReact heb gelezen (in zowel post history als active topcis). Sinds een aantal dagen (en misschien wel langer) zie ik dat dit systeem niet meer goed werkt. Er zijn namelijk topics 'gelezen' terwijl ik ná die laatste post geen enkele sessie-reset heb uitgevoerd!

Voorbeeld: ik ben vandaag om 18.50 vertrokken naar een afspraak om te eten. Ik ben zojuist teruggekomen. Ik open mijn browser en mijn MyReact ziet er zo uit: http://i43.tinypic.com/5zn9y.png

Een aantal topics (van 19.49 tot 21.36) staat gemarkeerd alsof het na mijn sessie-reset is gebeurd. Dat is 100% zeker weten niet zo. Ik weet dat er een standaard inactiviteit geldt voor een auto-sessiereset (5 min oid?), maar dat kan hier niet zo zijn: als ik wegga en stop met GoT bezoeken reset ik _altijd_ mijn sessie.

Ook is het misbruik van mijn sessie niet mogelijk: omdat ik al langer hiermee zit heb ik vandaag al mijn sessies uitgelogd en één nieuwe aangemaakt. Toch blijft het probleem. Is dit een bug of doe ik iets verkeerd?

[ Voor 0% gewijzigd door mithras op 26-03-2009 23:08 . Reden: Ander, beter, plaatje ]

[crisp]

zou het niet je automatische sig-update kunnen zijn?

[mithras]

Damn you crisp

Was dat eens even niet te voorzien Is het wel mogelijk om met een sessie de uurlijkse post te doen en daarbij met een andere sessie te browsen, die dus ook een ander resetpatroon heeft?

* mithras gaat even in een hoekje zitten

[Erkens]

Volgens mij kan dat doen door de 'xml' actie te gebruiken ipv 'forum', maar helemaal zeker weet ik dat niet.

[crisp]

Je kan gewoon een ingelogde sessie starten en die sessie-id gebruiken voor je sigupdate. Vervolgens je cookie trashen (dus niet uitloggen) en voor je browser een nieuwe ingelogde sessie starten.

[mithras]

Ik gebruik nu zowel de 'xml' actie als een andere sessie dan waarmee ik browse. Nu gaat het wel goed, dus bedankt

[Erkens]

Mooi

[crisp]

Blijkbaar is het gebruik van een andere sessie niet voldoende om de reset te ontlopen, en de /xml lijkt wachtwoorden te lekken. Even heropened dus zodat ik tzt eens kan kijken naar een betere oplossing

[crisp]

Ik heb 2 changes gemaakt:

In de eerste plaats wordt user-sensitive POST data nu gestripped van de XML output

In de tweede plaats heb ik support ingebouwd voor een POST-var waarmee je het updaten van je lastvisit timer kan voorkomen: voeg een parameter 'dontupdateuserlastvisit' toe met een waarde '1' aan je request

Have fun!