nicht angemeldet
Session und htaccess
Hallo,
weiss jemand ob es möglich ist, eine Session über die htaccess zu überprüfen oder auch direkt durch diese starten zu lassen? Wenn ja wie kann ich das realisieren?
Danke schon im Voraus!
Gruss
Devi
-
hi,
weiss jemand ob es möglich ist, eine Session über die htaccess zu überprüfen oder auch direkt durch diese starten zu lassen? Wenn ja wie kann ich das realisieren?
keine ahnung, was du eigentlich vorhast.
bitte beschreibe deine pläne mal genauer.gruss,
wahsaga-
Schreib mal genauer, was Du wills...
keine ahnung, was du eigentlich vorhast.
bitte beschreibe deine pläne mal genauer.Hi,
also der Hintergedanke bei der Session über eine htaccess ist, das ich durch login geschütze Bereiche habe. Dort wird über die session eine bestimmte variable mitgeführt, welche die scriptanzeige überhaupt erst zulässt. nun gibt es ja auch ganz schlaue die meinen die seite über rechts klick bookmarken zu müssen. normaler weise passiert ja auch nix, es sein denn eine session ist nicht korrekt beendet worden. dann kann man trotzdem "quereinsteigen" und den login umgehen. und das will ich eben verhindern.
ich hoffe ich habe mich einigermassen verständlich ausgedrückt. Falls hier irgendein Denkfehler drin liegt oder Ihre einen bessere Lösung habt, bin ich für jeden tipp dankbar.
Devi
-
Hello,
also der Hintergedanke bei der Session über eine htaccess ist, das ich durch login geschütze Bereiche habe. Dort wird über die session eine bestimmte variable mitgeführt, welche die scriptanzeige überhaupt erst zulässt. nun gibt es ja auch ganz schlaue die meinen die seite über rechts klick bookmarken zu müssen. normaler weise passiert ja auch nix, es sein denn eine session ist nicht korrekt beendet worden. dann kann man trotzdem "quereinsteigen" und den login umgehen. und das will ich eben verhindern.
Wie Du das mit dem Quereinsteigen meinst, kann ich nicht nachvollziehen. Wenn Surfer A eine Session aufbaut und sich anmeldet, dann hat er eine autentifizierte Session. Das bedeuet, dass ihn Dein System für die Dauer dieser Session verfolgen kann (Session Tracking) und ihm auf jeder Seite, die über einen entsprechenden Mechanismus verfügt, Daten (und damit Rechte) zuordnen kann.
Tritt dieser Surfer A nun in ein mit htaccess geschütztes Verzeichnis, werden die von ihm mitgelieferten Credentials Username:Password vom Apachen gecheckt und wenn sie nicht stimmen oder nicht da sind per Fehler 401 angefordert. Wenn der Browser schlau ist, merkt er sich diese nun für dieses Verzeichnis zusätzlich zu den schon vorhandenen von der autentifizieren Session. Darauf würde ich mich aber nicht verlassen.
Wenn nun Surfer B kommt, hat er keine Useranmeldung und keine Verzeichnisanmeldung. Er kommt mit HTTP also auch nicht in das Verzeichnis hinein. Er müsste die Credentials von A finden oder fälschen, dann könnte auch er zugreifen - oder eben eigene haben, die passen.
Wen Du ein vernünftiges Rechtesystem aufbaust, dann benötigst Du auch kein htaccess mehr. Die Inhalte liegen dann irgendwo außerhalb der Document Root in einem Verzeichnis, das mit HTTP gar nicht erreichbar ist. Deine Engine sorgt dann dafür, dass nur autorisierte User die entsprechenden Daten ausgeliefert bekommen.
Wie man Sessions mit Auth401 bauen kann, kann ich Dir bei Bedarf posten.
Grüße
Tom
Grüße
Tom
-
-
-
.htaccess lässt doch sowiso niemanden in das Verzecihnis, das geschützt ist, oder willst Du, dass gespeichert wird, ob er das PW schonmal eingegeben hat und dann auch zwischen Seiten auf Deiner HP Swichen kann?
Schreib mal genauer, was Du wills...
Gruß
Stephan
-
Hello,
weiss jemand ob es möglich ist, eine Session über die htaccess zu überprüfen oder auch direkt durch diese starten zu lassen? Wenn ja wie kann ich das realisieren?
Die Autentifizierung mittels htaccess findet über den Fehler 401 statt. Der Browser wird dazu aufgefordert, die passemden Credendials zu liefern -> Username:Passwort
Bei jedem erneuten Aufruf der Seite oder ihrer Unterseiten liefert er die Credentials dann unaufgefordert mit.
Sache des Servers ist es, die nun jedes Mal zu überprüfen. Bei htaccess geschieht das automatisch _vor_ dem Script, bei einer Session ist das jeweilige Script dafür verantwortlich, zu prüfen.
Wenn Du Deine Session also selber aufbaust, dann kannst Du den Mechanismus zu htaccess und Session harmonisieren.
Dazu schaust Du Dir
serialize()
unserialize()
register_shutdown_function()an.
Das Session-Array $_SESSION kannst Du dann nach jedem userident() selber wiedre füllen.
Grüße
Tom