Здравствуйте!

Как-то скупо в Интернете находится информация по авторизации пользователей вкупе  То есть и как выставлять кукисы, и как включать сессии, если кукисы не поддерживаются, и как вообще организовывается авторизация. Поэтому хочу попросить ваших советов.

У меня есть кое-какие знания о механизме сессий, сделал пару админ-панелей для собственных сайтов, авторизацию администратора делал так:

1. Пользователь вводит логин и пароль
2. Система сверяет логин и md5-хэш пароля с теми, которые есть в базе.
3. Если верно, ставит пользователю $_SESSION['auth'] = "true";

Далее на каждой страничке в начале стоит вот такой код:



Чтобы, так сказать, перенаправить незарегистрированного пользователя к входу  Безопасно ли я делал или это сравни... Хотел сказать что-нибудь про тайваньских путан, да фраза никак не заканчивалась 

И вот мне нужно сделать хороший проект с множеством пользователей. Важным делом здесь является кнопочка "запомнить меня". И вот тут у меня есть несколько вопросов:

1. Куки ведь "смертны", так? И на всех сайтах, которые, "запоминают тебя", им просто выставляется период жизни побольше?
2. "Я использую чужой компьютер" - значит, что не будут выставляться куки и будут использоваться только сессия, которая закроется вместе с браузером?
3. Если пользователь прошёл проверку и нажал "запомнить меня", я даю ему печеньку, да? А стартовать ли мне сессию через session_start()?
 
Буду благодарен за ответ, спасибо 

Куки могут быть и бессмертными, все зависит от того сколько ты им время жизни установишь.  Установи 100 лет и, думаю, она тебя переживет. Если конечно пользователь насильно не удалит куку, или по каким то причинам она исчезнет с компьютера пользователя.




Да.



Да. Да. При этом в куке тебе надо сохранить какой-либо идентификатор пользователя, чтобы знать, что за пользователь к тебе пришел. Причем по этому идентификатору тебе надо восстановить все параметры пользователя, которыми ты пользуешься в сессии.

В куке ведь можно просто хранить имя пользователя? Чтобы просто идентифицировать его?

И
 


Опасно ли? 

нифига  то, что хранится в куках, доступно из массива $_COOKIE. Сессия используется кукисы,но не вытягивает из них ничего, кроме идентификатора сессии.
а просто хранить имя пользователя не стоит. сам же упрощаешь работу взломщикам.
храни там номер-идентификатор + md5 от присланных тобой REMOTE_ADDR + USER_AGENT. Тогда после вороства куки проверяешь, что то, что тебе пришло, совпадает с содержимым куки

Естественно. Что мешает мне поменять это имя и стать другим пользователем? Обычно в базе заводят отдельное поле, в которое вписывается услучайный token по которому потом определяется пользователь. Такие же токены используется для логина по ссылке (например, из писем).

Но я ведь не открою вам сессию, пока вы не введёте пароль и логин  "auth" - это сокращённо от "authorized". Это работает, пока мне нужно учитывать только одного пользователя (администратора).

То есть вообще можно вот так?



Случайным токеном можно сделать неслучайный хэш имени пользователя?  То есть просто прохэшировать имя пользователя и хранить его в базе как токен, его же и в письмах присылать? 




Это сообщение отредактировал(а) Addmin - 26.1.2011, 10:49

Вы попробуйте написать алгоритм авторизации по remember me cookie просто словами по пунктам (начиная с "на сайт заходит пользователь без сессионной cookie, но с remember me cookie") и потом перечитайте эту часть сообщения )



Можно, но не рекомндуется. Т.к. если злоумышленник поймет алгорит хеширования, то сможет опять же авторизоваться любым пользоватлем.

после  header() не забываем exit()

MoLeX, +1 , Столько проблем можно заработать если этого не делать