nicht angemeldet
Hi,
Ich benutze ein Login, wo Benutzer einloggen können (nachdem sie sich registriert haben) um Daten in eine mySQL Datenbank zu schreiben.
Ich überlege, ob es notwendig ist, das Passwort (das verschlüsselt in der Session gespeichert wird) ständig mitzuschicken, und bei einem Eintrag in die Datenbank ständig zu überprüfen, ob der Benutzer wirklich das Passwort verwendet, das auch in der Benutzerdatenbank bei seinem Namen gepspeichert ist. Dasselbe gilt auch für das löschen von Daten. Benutzer sollen natürlich nur die Daten löschen können, die auch von dem selben Benutzer gespeichert wurden.
Ich überlege die ganze Zeit, ob es nicht einen Weg gibt, wo irgend ein schlauer Fuchs seine eigene Session so manipulieren könnte, dass der Name eines anderen Benutzers in der Session steht und er dann mit diesem Namen einen Eintrag machen könnte, (natürlich nur wenn ich nicht nach dem Passwort überprüfe) aber wie gesagt, ist so etwas möglich, oder muss ich nicht extra vor jedem Eintrag überprüfen, ob das Passwort mit dem Benutzer, der in der Datenbank eingetragen ist, übereinstimmt?
Ich benutze Perl und mySQL.
Markus Trusk.