[ALG] inhoud session beveiligen? *

[MadMurdock]

Hoi,
Is het noodzakelijk dat als ik gevoelige zaken opsla in een sessie, deze worden geencrypt?
Wordt zo'n sessie ergens (als txt) opgeslagen op je HDD, en kan je dat dus ook veranderen?

edit:

<sub>wat is dan het verstandigst om bijv. ingeval van een inlogprocedure in zo'n sessie te schrijven?
Ik heb nu zo'n inlogprocedure gemaakt, waarbij naam/wachtwoord wordt vergeleken met het ip-adres (of de serie ingeval van dynamisch ip). Als dit alles klopt schrijf ik gegevens weg naar zo'n sessie.
Maakt het dan nog wat uit wat ik erin zet en of dit geencrypt gebeurt?

Want in principe is het toch voldoende om er maar 'een' willekeurige variabele in op te nemen. En indien deze bestaat is de user (voor alle vervolgpagina's) ingelogd?</sub>

[Verwijderd]

Zo'n sessie wordt opgeslagen op de webserver waar die website draait...
Ik weet niet of het noodzakelijk is om je gegevens in een sessie te encrypten, ik doe het iig nooit..

[MadMurdock]

ow.. beter

[djc]

Dat is zeg maar de lol van sessies. Alle informatie die je erin stopt wordt alleen op de server opgeslagen, alleen door middel van het session id (dat in een koekie op de HD van de gebruiker kan worden gezet OF transparant aan alle URLs binnen een site kan worden toegevoegd) matcht PHP een gebruiker met de gegevens op de server.

[MadMurdock]

wat is dan het verstandigst om bijv. ingeval van een inlogprocedure in zo'n sessie te schrijven?
Ik heb nu zo'n inlogprocedure gemaakt, waarbij naam/wachtwoord wordt vergeleken met het ip-adres (of de serie ingeval van dynamisch ip). Als dit alles klopt schrijf ik gegevens weg naar zo'n sessie.

Maakt het dan nog wat uit wat ik erin zet en of dit geencrypt gebeurt?

Want in principe is het toch voldoende om er maar 'een' willekeurige variabele in op te nemen. En indien deze bestaat is de user (voor alle vervolgpagina's) ingelogd?

[djc]

Ik gebruik altijd een object om alles in me sessie te pleuren, en daarin heb ik dan bijvoorbeeld een var met het id van de user in de db en de username en eventueel het user level. En methoden als logged() om te kijken of iemand heeft ingelogd.