[php] loginsysteem op database niveau

[Verwijderd]

Je ziet tegenwoordig talloze loginscript (zoals www.phpsecurepages.com) die allemaal gebaseerd zijn op sessions of cookies.

Maar wat is er nu tegen om sessions / cookies te laten vallen en het puur database georienteerd te houden? D.m.v. een statusveld en een timestamp of iets dergelijks kan een login toch ook goed worden bijgehouden?

Bovendien ben je dan ook niet meer afhankelijk van de browserinstellingen van de gebruiker.

Wat zijn volgens jullie nu de voor- en nadelen van de 3 bovengenoemde methodes?

Dus: cookies , sessions of database georienteerd.

[PrisonerOfPain]

Database georienteerd, leuk, maar hoe wil je de gegevens naar de juiste gebruikers sturen? Daar heb je toch echt een cookie voor (of je moet het sessie ID in de URL meegeven) nodig (of je dat dan dmv sessions regelt of het zelf voor je rekening neemt moet je zelf weten). De gegevens opslaan in de database is natuurlijk ook mogenlijk door middel van een custom session manager.

[Creepy]

Puur database georienteerd, ZONDER sessions of cookies? Hoe wil je dat gaan doen? Je kan namelijk met geen mogelijkheid dan een gebruiker uniek identificeren.

[Dennis]

Het grootste nadeel is denk ik de veiligheid. Hoe wil je weten wie wie is? Op basis van IP adres? Leuk, bij een NAT-situatie .

[Verwijderd]

Stel je gebruiker wisselt van de ene pagina naar de andere. Zoals de mensen hierboven al zeggen, moet er wel een manier zijn om na te gaan welke gebruiker die volgende pagina wil zien en welke informatie dan zichtbaar moet zijn. Er moet dus wel gebruik gemaakt worden van ofwel sessions ofwel cookies. Het voordeel van sessions is dat ze volledig op de server worden bijgehouden, en dat er geen limiet is hoeveelheid variabelen. In een cookie kan slechts 1 variabele, en er is een limiet van 20 cookies per website. Daar kom je dus al snel mee te kort.

google eens voor de gein, succes...!

[Macros]

Dat database georienteerd bestaat al, en dan zijn het gewoon sessies die je in je database bewaard in plaats van op je filesystem.

[PrisonerOfPain]

Macros schreef op 05 juni 2004 @ 00:03:
Dat database georienteerd bestaat al, en dan zijn het gewoon sessies die je in je database bewaard in plaats van op je filesystem.

Dat is niet zo moeilijk, daar heb je de session_set_save_handler() functie voor

[Gerco]

Sessies kun je ook prima gebruiken zonder cookies, php heeft er zelfs een ingebouwde afhandeling voor. Je moet dan wel bij elke URL het sessie id meegeven aan de volgende pagina, dat kan een nadeel zijn, maar het werkt prima.

[PrisonerOfPain]

Gerco schreef op 05 juni 2004 @ 00:13:
Sessies kun je ook prima gebruiken zonder cookies, php heeft er zelfs een ingebouwde afhandeling voor. Je moet dan wel bij elke URL het sessie id meegeven aan de volgende pagina, dat kan een nadeel zijn, maar het werkt prima.

Dat maakt het kapen van een sessie wel heel erg makkelijk, als je alleen een sessie-id meegeeft via de URL, je hoeft alleen een link te krijgen en je bent binnen. Natuurlijk is dit veilig te krijgen (ip gebonde sessies, the works) het kost alleen wat meer moeite. (Ik zeg overigens niet dat de php sessies standaard al veilig zijn )

[Gerco]

PrisonerOfPain schreef op 05 juni 2004 @ 00:17:
Dat maakt het kapen van een sessie wel heel erg makkelijk, als je alleen een sessie-id meegeeft via de URL, je hoeft alleen een link te krijgen en je bent binnen.

Dat klopt, ik zei ook niet dat je alleen een SID moest meegeven of controleren. Als het veilig moet, is er nog een heleboel aan te verbeteren, maar daar ging het niet over, zonder cookies werkt dus wel gewoon, ook zonder trucks als ips onthouden.

[Macros]

Alsof cookies stelen zo moeilijk is...
Standaard sessies in PHP zijn al gebonden aan ip's.