смотрю код, привзяаный пароль к сесcии

$_SESSION['pass'] = $password;

безопасно так делать? этот пароль в куки пойдет или нет?
это не на хостинге, а админка на сервере... (доступ к файлам сессии не будет у левых)
(еще: пароль не закриптографирован, а захеширован)

Это сообщение отредактировал(а) gcc - 20.5.2009, 00:00

Куки и сессия это разные вещи. Данная конструкция безопасна, настолько насколько можно вообще говорить о безопасности сайта в сети вообще и твоего проекта в частности.

То что пароль хеширован это плюс, а не минус. т.к. если  есть кобчшь к расшифровке это и есть мизерный % что его могут взломать (лет через 20-30, но все же  ). 

Если страдаешь параноей то можешь сделать так

$_SESSION['pass'] = md5(md5($password).'руки прочь от моего пароля!!!');

проект не мой, пароль в открытом виде прикреплен к сессии, ладно фиг с ним..

здесь следует рассказать о такой небольшой притче.

многие хостинги, исходя из древних традиций, любят держать register_globals = on, эта настройка влияет или другая (но идущая параллельно ей) - не важно, но при этом, если мы зададим get-параметр одного имени с сессионной переменной, то он перезатрёт саму переменную. т.е. указываем в адресной строке script.php?pass=qwer - и $_SESSION['pass'] станет 'qwer'

не важно, где и почему это происходит, иногда отключить register_globals невозможно, а бегать с хостинга на хостинг - задача организатора проекта, а не программиста. а от начальников обычно один ответ: "ты же программист, разве ты не можешь сделать с этим что-нибудь?"

насколько это важно для пароля - не знаю, как в вашем случае. но к примеру, если у нас в сессии хранятся права доступа $_SESSION['access'], то это может дать пользователю возможность получить расширенные права для себя. в данном случае, имхо, надо обязательно в куках хранить хэш-строку, которая будет формироваться на основе всех "опасных" для изменения параметров сессии. и при каждом запросе пользователя проверять, соответствует ли она сессионной

bars80080, сталкивался с таким не раз. Метод отправки из формы должен быть $_POST, а не $_GET и одним головником меньше. 

Можно еще в начале скрипта брать урл-запроса и проверять его на наличие "левых" переменных которых там не должно быть.

Но надежнее всего, спорить не буду, при каждом запросить делать проверку 

И как это поможет?

$_SESSION['pass'] = $_POST ['pass'];

$_SESSION['pass'] = $_GET ['pass'];

а теперь если в строку браузера вставить pass=123 то при $_POST ['pass'] значение сохранится передаваемое из формы



Это сообщение отредактировал(а) chiffa - 20.5.2009, 14:33

Что мешает поменять POST значения?
Или я чего-то не понимаю?

Похоже, тема сводится к обсуждении безопасности веб-приложения