Авторизация по сессии

По мне у нас как раз это и получится, у нас будет, только один пользователь на сайте который будет сидеть с этой учеткой!

[quote=fdr21][/quote]
Если через хеш то да,но я никак не пойму почему некоторые пытаются показать что способ плохой ибо сам пользователь может перенести куки с хешем и логином?
Если так рассуждать то тогда на всех сайтах надо убрать авторизацию,ибо 99 процентов сайта используют куки для хранения пользовательской информации(логин,пароль)

EuGen, тут вот ведь в чем дело, ясен караул что все можно подделать, тут суть в самой махинации. Объясню. Вот злоумышленник нашел кукисы, а у меня там один всего параметр - Kjhzefvuh78bh8gh со значением JHf7yhw8rhw3*Y7y78y3r8wrhw78y7ra. Злоумышленник то не в курсе, что тут закодирован юзерагент, айпи и бог его знает что и первое что он попробует - просто подставить куки и заголовки (и то врятли), вот тут-то его ключевой промах. Скрипт обнаруживает несоответствие фактических данных с записями в куках и в базе и аннулирует сессию. Все. Больше, как ему не биться, ни куда он не зайдет (если пароль юзера не подберет).. Я еще используюю "уникальную" куку. Значение, сгенерированное случайным образом и хранящееся в базе до следующего обращения. Со следующим обращением она изменяется. Несоответствие её тоже приводит к аннулированию сессии. Т.е. комбинации множества приемов позволяют добиться почти идеального результата. А стопроцентной безопасности по-моему не достичь никогда.

Пришла идея в голову, зачем пользователю может потребоваться сидеть на двух или более компах.
Допустим у нас сайт с платным доступом и очень интересный. Пользователь может зарегится один раз, и потом оптом перепродать свою учетку, или свои куки)))

Не стоит забывать что у основной доли пользователей ип меняется причем динамично каждый час.
(Добавление)

Тоже глупость
Достаточно один раз повторно авторизоваться и хеш станет другим,что повлечет за собой разлогивание другого пользователя.

Если вы тут подразумеваете свой пример, то его можно обойти, без повторной авторизации, просто передать куки ХЕША!!!

(Отредактировано автором: 24 Июня, 2012 - 19:56:11)

[quote=fdr21][/quote]
Ну если только браузер дрявый или админ сайта криворукий то тогда другой вопрос.

В общем, если пользователь знает, как устроены сессии и заинтересован подделать свою авторизацию - он это сделает. И первое, что он попытается - имитировать полностью свое окружение.
А вопрос все тот же и он 100% не разрешим, как я уже и говорил - из-за невозможности разделять внутри одной php-сессии разные сессии авторизации. Дальнейшее, мне кажется, не имеет смысла.

-----
Есть в мире две бесконечные вещи - это Вселенная и человеческая глупость. Но насчет первой .. я не уверен.