Одновременная авторизация 2-х пользователей

Доброе время суток)
Столкнулся с проблемой. Вкратце:

Нужно запретить авторизацию пользователя тогда, когда под таким же логином пользователь уже авторизован.

В данный момент это осуществляется так.

Есть таблица online;

При авторизации записывается id сессии, текущее время.
При обращении к страничке мы проверяем такой айдишник сессии в базе, если есть, то обновляем время.
Далее идет проверка тех пользователей, кто не был активен. Т.е. если разница записанной даты и текущей более 5 минут - то пользователь считается оффлайн и строчка из базы удаляется.

При авторизации мы проверяем есть ли такой пользователь онлайн - если да, то запрет на авторизацию, нет - логинимся и все сначала)

================================ =======================
Суть проблемы:
Представим, что пользователь авторизовался, посидел на сайте 5 минут без действий. Значения из базы online удалились. В это время авторизовался пользователь2. (ведь данные о сессии пользователя 1 удалены)

Таким образом мы получили 2 пользователей онлайн под 1 учетной записью.
================================ =======================
Каким образом организовать авторизацию, чтоб избежать таких камней?)

Аторизация сейчас происходит так:

увеличить время таймаута

-----
ответы на 99% вопросов здесь

я тоже так думаю, 5 минут - это очень мало. может пользователь читает страницу.

(Отредактировано автором: 07 Ноября, 2010 - 23:26:43)

Думаю это не выход.

Статистика об онлайне будет очень неточной.

Можно пересмотреть всю систему авторизации и отслеживания онлайн.
Главное запретить одновременную авторизацию.
И Ведь даже увеличив таймаут - мы сможем авторизоваться через 40 минут, час два часа и т.д.

З.Ы.
Студенты (для которых и пишется это) в состоянии подождать лишний час, лишь бы получить халяву)

тогда может посмотреть в сторону Это не есть хорошая авторизация. и зачем тогда вообще авторизация, если любой студент может зайти под любым логином? Может усилить безопасность логина-пароля.

Переделав систему авторизации Ваша проблема останеться. Онлайн делается только по таймауту. другого варианта нет. разве что использование cgi и забыть про PHP. Использовать постоянный конект с клиентом...

Другой вариант написать на Вашем сайте JS кодик который регулярно бы делал запрос к серверу и тем самым обновлял ваш онлайн

-----
ответы на 99% вопросов здесь

Есть пара вопросов:

1) Что есть "хорошая авторизация"? Хотелось бы сделать ее так, как это нужно делать на самом деле.
Ибо в интернете множество примеров (мусора) на эту тему. А хотелось бы увидеть реализацию от профессионалов.

2)
Тут неточно.
Логин и пароль раздаются каждому индивидуально перед началом тестирования.
Все студенты проходят авторизацию и начинают проходить тест.
Далее умные студенты, дождавшись 5 минут (они естественно не знают точное количество времени), отправляют логин и пароль своему другу, преподавателю, вобщем тому, кто может за них решить.
После того, как за него ответят на вопросы, студент жмет кнопку завершить и... успешно сдает тестирование.

Да, у нас в таблице онлайн обновляется айпишник, на котором открыт тест данного пользователя. И легко отследить администратору где не 192.168.*.*

Но это опять-таки заплатка на проблему, а не правильное ее решение!

Опустим систему отслеживания онлайн.
Главное избавиться от множественной одновременной авторизации.

Есть еще мысли по этому вопросу?

(Отредактировано автором: 08 Ноября, 2010 - 13:15:26)

тогда можно сделать проверку по IP и пускать только с "разрешенных". Далее, онлайн остается но времени больше. в любом случае 5 минут это очень мало. если вообще заморачиваться, то можно после первого входа сбрасывать пароль, но тогда однозначно надо увеличивать время таймаута, и использовать куки с сроком жизни равным таймауту.

в сессии лучше хранить не логин, а случайное число (сессию), которое будет записывать в БД соответствующему юзеру при авторизации. Тогда вся аутенификация будет сводиться к проверке этой сессии...

-----
ответы на 99% вопросов здесь

К сожалению нельзя, ибо контрольные тестировани проводятся с этих ip, а у студентов есть возможность готовиться к тестированиям, проходя пробные со своих домашних компьютеров.

Я думал может сделать так:
при успешной авторизации, ставить пользователю статус - "авторизованный" на время - равное времени теста (неизвестно как определять это, но не важно) + минут 10 на различного рода нюансы. Менять статус по нажатию кнопки выход или по истечении времени. А также нужно убить сессию текущему пользователю.

Но пришел к выводу, что это бредовая, непродуманная идея.

Даже не знаю, чтоб еще такое придумать, чтоб защититься от этого.

всну так и зделайте так, при контроольном тестировании проверка по IP, при подготовке с любого.

как уже сказал менять пароль после успешной авторизации... тогда точно никто второй раз не зайдет...

-----
ответы на 99% вопросов здесь