Är detta tillräcklig sessionsäkerhet?

2 svar · 320 visningar · startad av bassebhu 23 jan. 2006

bassebhuMedlem sedan nov. 20016 480 inlägg

Frågan23 jan. 2006 20:30#1

Hej alla glada!

Har ett inloggningssystem som när man loggar in sätter:

$_SESSION['user']['id'] = $row->u_id;
$_SESSION['user']['name'] = $row->u_name;

Och sedan på alla skyddade hemsidor kör:

if(!isset($_SESSION['user'])) {

	header("location: login.php?noSession");
	exit;

}

Jag har försökt att slimma ned det så mycket som möjligt, men det verkar nästan vara för simpelt för att vara säkert...

Synpunkter? Tack!

bassebhuMedlem sedan nov. 20016 480 inlägg

24 jan. 2006 20:21#2

bump.

aasahMedlem sedan mars 20034 471 inlägg

25 jan. 2006 00:14#3

Jag är ingen expert på säkerhet, så därför håller jag mig till givna råd. Och enligt dem bör man även lagra ip-nr och kolla att det ipnr som finns i SESSION motsvarar det ip-nr besökaren faktiskt har. På så sätt är det betydligt svårare för någon att ägna sig åt sessionskapning. Denna tråd diskuterar bl a nödvändigheten av ip-koll. Ev kan du ha någon glädje av det?