[ALG] Sessions overnemen *

[Verwijderd]

Ik log in op een intranet. Nu wil ik aan het intranet een forum koppelen, maar ik wil dan niet opnieuw inloggen. Het intranet gebruikt sessions, maar geen cookies. Hoe maak ik dit waar?

[ACM]

Als je in hetzelfde domein zit kan je evt de sessie-cookies van het intranet gebruiken om de sessies te identificeren, mits de sessie-cookies van het intranet goed gezet zijn kwa domein.
Als er alleen url-rewriting wordt uitgevoerd voor sessies zal een "externe url" niet zo gauw de sessieID's meekrijgen en zal je het niet waar kunnen maken...

[ Voor 11% gewijzigd door ACM op 14-06-2004 10:24 ]

[Verwijderd]

Nogmaals, we gebruiken geen cookies.

Nu had ik dit gevonden in een Hijack tutorial:

code:

<?php
if (isset($_SERVER['HTTP_REFERER']))
    mail('[e-mail]', 'referer logged', $_SERVER['HTTP_REFERER)
?>

Is er zoiets mogelijk met link()? Zo ja, dan heb ik het iig verkeerd gedaan

[curry684]

Sessions zijn cookies in 99% van de implementaties, tenzij je GET-sessions gebruikt (lelijk!).

[Verwijderd]

curry684 schreef op 14 juni 2004 @ 10:37:
Sessions zijn cookies in 99% van de implementaties, tenzij je GET-sessions gebruikt (lelijk!).

lol, get-sessions bestaan niet...! Je verwart nu 2 termen IMO.

Maar goed, kzal wel ff kijken of ik de temp. cookies uit kan lezen. Verder : zou dat verhaal van HTTP_REFERER kunnen werken?

[gorgi_19]

Verwijderd schreef op 14 juni 2004 @ 10:58:
[...]


lol, get-sessions bestaan niet...! Je verwart nu 2 termen IMO.

Maar goed, kzal wel ff kijken of ik de temp. sessions uit kan lezen. Verder : zou dat verhaal van HTTP_REFERER kunnen werken?

Hij bedoeld cookieless sessions. Standaard hebben sessions een cookie nodig, tenzij je via de querystring werkt.

[curry684]

Verwijderd schreef op 14 juni 2004 @ 10:58:
[...]


lol, get-sessions bestaan niet...! Je verwart nu 2 termen IMO.

Ook via de GET-parameters kun je een sessie-ID doorgeven. Dat het ranzig lelijke URL's oplevert over je hele site gaf ik reeds aan, maar dat het kan is zeker.

gorgi_19 schreef op 14 juni 2004 @ 11:01:
[...]

Hij bedoeld cookieless sessions. Standaard hebben sessions een cookie nodig, tenzij je via de querystring werkt.

In ASP.NET heet het toevallig 'cookieless sessions', maar die naam is niet gestandaardiseerd of zo Ik vind het persoonlijk nuttiger om aan te geven waar je het sessionId wel stopt dan waar niet

[ Voor 40% gewijzigd door curry684 op 14-06-2004 11:05 ]

[watzie]

gorgi_19 schreef op 14 juni 2004 @ 11:01:
[...]

Hij bedoeld cookieless sessions. Standaard hebben sessions een cookie nodig, tenzij je via de querystring werkt.

Omdat we dan toch met termen aan het gooien zijn, zeg het dan meteen correct:
Om sessions te ondersteunen heb je of cookies nodig, en als dat niet ondersteunt wordt door de clientbrowser (cq uitgezet is) dan moet de server URL-rewriting ondersteunen.
Dat betekent dus dat de webserver ziet "hee deze request is door een client zonder cookies, ik moet de sessie id dus in de url versleutelen".
Hier hoeft klant nog programmeur dus iets voor te doen, dat gebeurt automatisch.

Wat TS echter wil is volgens mij cookie 'achtige' functionaliteit zoals tweakers.net dat ook doet: onthouden wie de gebruiker was/is zodat ie 'zonder inloggen' meteen weer door kan. Vraag eens aan de tweak crew hoe ze dat doen...

[watzie]

TS: wat is nou precies je probleem? Je geeft aan dat je 'inlogt op het intranet'. Je bent dus al ingelogt. Dan weet je toch al wie de user is binnen je serverside code dus gebruik je die user toch op dat forum van je? Snap niet waarom je nou 'sessions wilt overnemen' etc.

[eXcyle]

is het geen optie om voor je forum een redirect te maken die feitelijk alleen de sessie variabelen in een cookie smijt en je redirect naar het forum ? dat lijkt me de snelste oplossing , een andere oplossing zal zijn om gewoon een forum te maken / zoeken die gebruikt maakt van sessies

[Verwijderd]

Kijk het werkt zo:

Ik log in op het intranet
Dan navigeer ik door het menu en klik op het item "forum".

Het forum heeft een eigen login en cookies/headers en al het gemeutel. Ga ik eruit slopen, want dan hoef ik niet in te loggen.

Het forum staat BTW op een andere server.

[Janoz]

Als je nu eens uitlegt hoe het aan de achterkant werkt ipv op de voorkant. Op deze manier is natuurlijk helemaal niks duidelijk. Hoe zou het forum moeten weten wie er ingelogd is? Hoe kunnen wij je uitleggen hoe je een 1 op 1 mapping maakt voor sessies op het forum en het intranet als je niet aangeeft hoe bij beide de sessies werken?

Het lijkt er een beetje op dat je geen idee hebt waar je mee bezig bent. Je vergeet relevante informatie te vermelden, maar zit aan de andere kant mensen de les te lezen waarvan jij (onterecht) vermoed dat ze er niks van snappen.

[curry684]

watzie schreef op 14 juni 2004 @ 11:09:
[...]

Wat TS echter wil is volgens mij cookie 'achtige' functionaliteit zoals tweakers.net dat ook doet: onthouden wie de gebruiker was/is zodat ie 'zonder inloggen' meteen weer door kan. Vraag eens aan de tweak crew hoe ze dat doen...

Hier is weinig aan uit te leggen toch?

Je krijgt gewoon een cookie met een bepaalde expiration date, en daarin je ReactID dat bij terugkomst uniek je sessie identificeert in de Session-tabel in de database. Op het Logout scherm kun je exact zien hoeveel sessies er van jou bekend zijn.

[ACM]

curry684 schreef op 14 juni 2004 @ 11:04:
In ASP.NET heet het toevallig 'cookieless sessions', maar die naam is niet gestandaardiseerd of zo Ik vind het persoonlijk nuttiger om aan te geven waar je het sessionId wel stopt dan waar niet

Dan moet je ze "get_or_post_session" noemen

[eXcyle]

Verwijderd schreef op 14 juni 2004 @ 11:25:
Kijk het werkt zo:

Ik log in op het intranet
Dan navigeer ik door het menu en klik op het item "forum".

Het forum heeft een eigen login en cookies/headers en al het gemeutel. Ga ik eruit slopen, want dan hoef ik niet in te loggen.

Het forum staat BTW op een andere server.

dan lijkt me de makelijkste manier dat je de sessie data zodra je naar het forum gaat in een cookie zet, zodat het forum denkt dat de user gewoon in ingeloged.
Je kan de login er wel gewoon uithalen, maar het forum zou toch moeten weten wie er is ingeloged, en om het hele forum op sessies te laten werken zul je een aardig gedeelte moeten herschrijven.

[ Voor 6% gewijzigd door eXcyle op 14-06-2004 12:21 . Reden: Typo's ]

[curry684]

ACM schreef op 14 juni 2004 @ 11:43:
[...]

Dan moet je ze "get_or_post_session" noemen

POST is wel erg onhandig Not to mention onbruikbaar op non-form-based navigatie.

[jochemd]

Verwijderd schreef op 14 juni 2004 @ 11:25:
Kijk het werkt zo:

Ik log in op het intranet

Hoe log je in? En niet "door mijn username en password in te vullen", maar hoe werkt de huidige authenticatie backend?

[ACM]

curry684 schreef op 14 juni 2004 @ 11:58:
POST is wel erg onhandig Not to mention onbruikbaar op non-form-based navigatie.

Wat ik bedoel is dat "url rewriting" niet zo netjes is voor een post-form, in zo'n geval moet je eigenlijk de parameter als hidden input in het form verwerken en bij mijn weten doet iig PHP dat bij zijn "url rewriting"-routine.