[php] htaccess beveiliging vs session(tabel)/cookie/chal.res

[Verwijderd]

Dag mensen,

ik ben aan het kijken hoe ik een van onze webprojecten het beste kan beveiligen voor meerdere gebruikers.

Ik zit nu op 2 oplossingen waarvan ik moeilijk kan beoordelen wat het beste voor me is:

htaccess beveiliging en obv $_SERVER['HTTP_AUTH_USER'] de juiste gegevens / restricties opvragen in de DB

voordeel: snel opgezet, geen overkill
nadeel: username/password moeten in htpasswd worden vastgelegd

beveiliging met sessie(tabel) en cookie obv challenge respons login

voordeel: beheer van gebruikers via database, sessiebeheer mogelijk
nadeel: overkill? die enkeling die JS uit heeft staan kan niet inloggen, cookies dito

Misschien zijn er nog veel meer voor-/nadelen maar die ken/zie ik niet.
Hoe zit het met beveiliging? Is beide even veilig?

Wat zijn jullie ideeen?

[RobIII]

Verwijderd schreef op maandag 06 april 2009 @ 16:00:
htaccess beveiliging en obv $_SERVER['HTTP_AUTH_USER'] de juiste gegevens / restricties opvragen in de DB

voordeel: snel opgezet, geen overkill

Geen overkill? Want? Wat versta je in deze onder 'overkill'?

Verwijderd schreef op maandag 06 april 2009 @ 16:00:
nadeel: username/password moeten in htpasswd worden vastgelegd

En dus moet je wel omslachtig een interface voor die htpasswd gaan bouwen -> overkill

Verwijderd schreef op maandag 06 april 2009 @ 16:00:
beveiliging met sessie(tabel) en cookie obv challenge respons login
nadeel: overkill?

Again: Want?

Verwijderd schreef op maandag 06 april 2009 @ 16:00:
die enkeling die JS uit heeft staan kan niet inloggen, cookies dito

Hoeft niet hoor; kijk maar eens hoe dat op T.net wordt gedaan. Ook als JS uit staat werkt het prima, alleen gaat je wachtwoord dan niet als MD5 over de lijn maar als clear text. Tja...

Verwijderd schreef op maandag 06 april 2009 @ 16:00:
Hoe zit het met beveiliging? Is beide even veilig?

Waarom niet? "Done right" moet het weinig verschil uitmaken... Met de nadruk op "Done right"

Ik vind je topic nogal "vaag"; ik zie geen harde functionele eisen of iets. En echt een duidelijke vergelijking van je (huidige) 2 opties vind ik het ook niet...

[ Voor 5% gewijzigd door RobIII op 06-04-2009 16:05 ]

[mcDavid]

"webprojecten voor meerdere gebruikers" vraagt al snel om een loginsysteem met database.

Als het om 2 of 3 personen gaat die maar sporadisch hoeven in te loggen doe je het snel met htaccess, voor alle andere gevallen bestaan er duizenden kant-en-klare frameworks in iedere gewenste server-side taal. Of je schrijft zelf wat.

[Verwijderd]

mmm.. hoe kan ik dit verduidelijken?

even hardop redenerend...
Sessie beheer is waarschijnlijk overbodig. De gebruikers gaat dit waarschijnlijk niet begrijpen.

Met overkill bedoel ik.. het lijkt me dat voor de tweede optie veel meer handelingen verricht moeten worden incl. de afhandeling met de sessie tabel e.d.

Voor de eerste optie hoef ik m.i. enkel te kijken of er in de user tabel een record is met client = $_SERVER['HTTP_AUTH_USER'].

Ik neig wat dat betreft naar de eerste optie maar ik ben bang dat, doordat ik nu wellicht wat opties niet voor ogen heb, dat ik straks wat dingen ga missen.

[Verwijderd]

Wat hebben de gebruikers te maken met de beveiliging Die horen dat ook niet te snappen, anders kunnen ze het omzeilen misschien

'k Zou niet snel voor .htaccess kiezen, stel dat je ooit moet migreren naar een IIS-server (zelf overkomen hier...).

[iH8]

(tabel?!) Waarom zou je je eigen sessies bij moeten houden? PHP kan dat toch gewoon voor je doen via de standaard session_handler? Het aanmaken / bewerken van users is nogal een hassle via HTTP. Laat staan dat je ooit voor de situatie komt te staan dat je wil dat je users hun eigen wachtwoord moeten kunnen wijzigen bijvoorbeeld.