php-sessies en cookies webshop

[Verwijderd]

Hallo iedereen,

Ik ben nu bezig met het zelf maken van een webshop. Ik ben hiervoor een onderzoekje gestart over sessies en cookies, ik probeer hiervoor ook onderzoek te doen naar grote webwinkels. Ik kom alleen niet achter een paar vragen, ik hoop dat iemand hier daar misschien antwoord op heeft, de vragen zijn als volgt:

1. Hoe lang laten de grote webshops hun php sessies duren, voordat deze een time out krijgen? ( of wat zou een goede tijd zijn? )
2. Hoe lang laten de grote webshops hun cookies open staan? ( of wat zou een goede tijd zijn? )
3. Welke informatie wordt er in de cookie gestopt, welke in de php sessie en welke in de database?

Ik heb zelf al flink gezocht, onder andere temper data gebruikt maar helaas zijn de sessies encrypted, ook weet ik niet hoe je er eventueel achter zou kunnen komen wat de expire date is. Ik heb zelf al wel een redelijk idee over welke informatie waar in moet staan(sessie, cookie, database), maar hoop op deze manier wat second opinions te krijgen.

Als jullie me hiermee kunnen helpen alvast heel erg bedankt!

[Saven]

Voor zover ik weet duren $_SESSION's tot de browser sluit, of je moet iets in php.ini aanpassen. Zo werken veel shops ook. Maar bind me er niet op vast, ik werk eigenlijk nooit met $_SESSION's

Behalve als je al klant bent en ingelogd, wordt je 'sessie' opgeslagen in een cookie zodat je winkelmandje voor een lange tijd bewaard blijft.

[ Voor 35% gewijzigd door Saven op 30-03-2012 16:49 ]

[CurlyMo]

#3 Cookies gebruikte ik voornamelijk voor het verifiëren van een gebruiker bij een opgeslagen sessie. Stel iemand logt in op een publieke ruimte (bibliotheek e.d.) en vinkt aan dat hij ingelogd wilt blijven. Vervolgens blijft zijn account dus open staan ook als iemand de computer afsluit. Later logt hij thuis in en en zijn sessie blijkt daar ook actief. Door een hash in de cookie op te slaan en in je database kan je vergelijken of de laatste sessie overeenkomt met de nieuwe sessie. De sessie (in dit geval in de bieb) is dan dus automatisch inactief geworden, aangezien er al een nieuwe hash vanuit thuis is aangemaakt. Dus ik sla meestal een hash en de user id op in de cookie. Niks meer.

[AW_Bos]

Een sessie is 28 minuten geldig bij inactiviteit op de site. Ook bij het sluiten van de browser wordt de sessie verwijderd.

[Janoz]

Je doet je onderzoek precies verkeerd om. Sessies en cookies zijn een middel, niet een doel. Je moet bepalen wat de functionaliteit is die je wilt bieden en de veiligheid die je wilt garanderen. Daaruit volgt vervolgens een setje eisen waaraan je (of een) oplossing moet voldoen en pas dan kun je echt bepalen welke technieken je daar het beste voor kunt gebruiken.

Hoe lang een sessie geldig moet blijven is niet relevant. Hoe lang een gebruiker ingelogd moet blijven, of hoe lang een winkelmandje gevuld moet blijven voor iemand die niet ingelogd is, is dat wel.

Op #3 is wel een antwoord te geven:
Cookies - gegevens die je voor korte of lange tijd wilt bewaren waarbij het niet belangrijk is dat daar mee geklooid kan worden. Deze gegevens kun je als shop niet vertrouwen, ze kunnen in principe door iedereen gelezen en aangepast worden. Deze gegevens worden bij de bezoekers zelf opgeslagen en zijn dus per bezoeker.
Sessie - gegevens die je voor de duur van een bezoek kunt bewaren per bezoeker. Deze gegevens zijn wel te vertrouwen en kunnen alleen door je site zelf aangepast worden.
Database - gegevens die je langer kunt bewaren en die voor de hele applicatie gelden en bereikbaar zijn. Ze zijn alleen door je applicatie aan te passen en dus erg betrouwbaar.

[ Voor 38% gewijzigd door Janoz op 30-03-2012 22:13 ]

[Onoffon]

Je kan ook eens wat open-source webshops installeren, kijken hoe hun het doen (prestashop, magento,osCommerce, etc)

[Verwijderd]

Bedankt allemaal! Ik heb inderdaad al naar Magento gekeken. Ik heb in ieder geval bruikbare informatie om te gebruiken in mijn onderzoeksverslag en wat nuttige tips om verder te gaan met het onderzoek.