Здравствуйте

Если кто знает, подскажите хороший и относительно безопасный скрипт авторизации на сессиях в целях обучения и последующего применения для регистрации пользователей в сайтах типа сайтов знакомств. К сожалению многие примеры не выдерживают и поверхностной критики. Пробовал изучать OcCommerce, правда не хватает пока опыта )

Нашел хороший скрипт на этом форуме, правда работает на куках http://forum.vingrad.ru/articles/topic-158301.html

Это сообщение отредактировал(а) Артем125 - 17.9.2009, 19:11

учитывая, что 
1. почти все системы авторизации предлагают, а все пользователи пользуются галочкой "запомнить меня на сайте"
2. передача швсессии в урле не рекомендуется по соображениям безопасности
искать такую замену куки на сессии вряд ли есть смысл

Вышеприведенную ссылку и тот код авторизации интересен тем, что: 
    *  Нельзя было бы быть авторизованным под разными IP.
    *  Нельзя было бы быть авторизованным под разными Браузерами.
    *  Ограничить время жизни сессии пользователя 10-15 минутами ПРОСТОЯ !

Первые два пункта можно сделать на сессиях, это правда не защитит от подделки заголовков. А как реализовать третье ограничение?

И еще вопрос. Я так понял в магазинах, сайтах знакомств и прочих похожих сайтах используют кукисы, вроде вышеприведенного скрипта?


и еще цитата: 
 7. Куки или сессии?

Тут уже выбирать вам что использовать. В принципе PHP сессию лучше использовать в большинстве случаем. Я использовал в данном примеру куки  дабы не захламлять голову начинающих программистов лишним кодом и головной болью.

Что имел в виду многоуважаемый автор?

Это сообщение отредактировал(а) Артем125 - 17.9.2009, 20:22

ну, это только в вышеприведенном коде
с нормальным кодом IP заголовками не подделаешь

плюс надо сначала ответить себе на вопрос, кто и зачем будет подделывать заголовки. а потом уже от этого защищаться.

вообще вопрос непонятен.
сессии работают на тех же куках, различия только в деталях. 
любой функционал можно реализовать и на том и на другом механизме. 
выбор не настолько принципиален, чтобы так прямо им озадачиваться.

Кто и зачем. Ну, например захотят авторизоваться, и опубликуют переписку или в магазине потратят деньги на какую-нибудь ерунду.

вообще вопрос непонятен. Я еще не достаточно разобрался в механизмах сессий и кукисах, уж простите. 

Может подскажите серьезную литературу, где детально описываются механизмы сессий и кукисов ))

Большое спасибо за Ваш отклик!

Это сообщение отредактировал(а) Артем125 - 17.9.2009, 20:48

С сессиями, пожалуй, возни меньше разве только.
Не надо руками куки ставить, не надо таймаут высчитывать, не нужна таблица сессий.
плюс в стандартную сессию можно еще что-нибудь записать, кроме логина и пароля. Но для этого несложно расширить таблицу сессий из приведенного примера.
Собственно, весь код по ссылке - это реализация механизма сессий вручную. Не самый плохой вариант, для обучения

Добавлено через 6 минут и 46 секунд

допустим, захотят. 
какие их дальнейшие действия?


в таких случаях лучше читать документацию, а не книжки или код разной степени качества.
Хотя в мане тоже мутно для новичка. 

Кука - это НТТР заголовок, который сервер посылает браузеру. Указывая имя, значение и время жизни.
А браузер, с каждым запросом к серверу, возвращает его. Пока сервер не скажет удалить куку или не выйдет время ее жизни.
Есть еще особые сессионные куки, которые браузер посылает до своего закрытия. 

Сессия - это сгенерированная сервером сессионная кука со случайым значением, плюс файл на сервере, имя которого совпадает с именем куки. Если браузер присылает куку, сервер читает значения переменных из этого файла. Если перед этим он их туда записал.

Вот и вся премудрость