Session oder Cookie User-Login-System

[Hans]

Hallo.

Ich bastel gerade an einer Seite mit User-System und so weiter.
Ich bin gerade darbei ein Login zu machen.
Die Frage ist nun ob ich das ganze per Sessions machen soll, per Cookies oder beides.

Falls nur Cookie oder nur Session wüsste ich wie nur falls ich beides verwenden sollte hätte ich gerne grob beschrieben wies funktionieren soll.

Also ich hätte halt einfach mal Vor- und Nachteile sowie Vorschläge und  Rat&Empfehlung von den Erfahrenen hier unter uns, von allen 3 Möglichkeiten.

mfg

Hans

[wahsaga]

hi,

Ich bin gerade darbei ein Login zu machen.
Die Frage ist nun ob ich das ganze per Sessions machen soll, per Cookies oder beides.

Welchen Ansatz stellst du dir wie vor?

Wie würdest du es "mit Cookies" machen wollen?
Wie mit Sessions?

Falls nur Cookie oder nur Session wüsste ich wie

Na dann erzähl doch mal.

gruß,
wahsaga

[sucker]

Hi,

hat nichts mit diesem Thread zutun aber sag mal, wieso schleuderst du mit Sätzen um dich und Antwortest nicht auf meine frage?

(Sorry an den fragesteller das ich hier einfach so mitmische)

[Hans]

Hi,

Session:
Login Formular
Daten per Post übergeben
gucken ob der User mit dem PW in der MySQL DB existiert
falls ja ne Session starten mit 3 $_SESSION Variablen
z.B.
$_SESSION['on']=true;
$_SESSION['pw']=MeinPW(verschlüsselt md5(), sha1() + spezielle endung);
$_SESSION['name']=MeinName;

Bei jeder Seite dann kontrollieren
Session vorhande?
Variablen Vorhande?
Sessions mit Name und PW richtig?(Vergleichen mti Daten die jedes mal aus der DB geholt werden)

Cookies eigendl das selbe.

mfg

Hans

[wahsaga]

hi,

Session:
[...]
Cookies eigendl das selbe.

Welche Methode hätte welche Vor-, welche Nachteile?
Welche die Kombination der beiden?

(Wobei, Sessions ohne Cookies zu betrachten, dürfte sowieso eher selten sein.)

gruß,
wahsaga

[Hans]

Welche Methode hätte welche Vor-, welche Nachteile?

Will ich ja auch gerne wissen.

Welche die Kombination der beiden?

Würd ich auch gerne wissen.

(Wobei, Sessions ohne Cookies zu betrachten, dürfte sowieso eher selten sein.)

Hab ich mir eigendl auch gedacht aber ich weiß einfach nichtmehr wies geht.

Greetz

Hans

[wahsaga]

hi,

Welche Methode hätte welche Vor-, welche Nachteile?
Will ich ja auch gerne wissen.
Welche die Kombination der beiden?
Würd ich auch gerne wissen.

Und ich hätte gern, dass du dir eigene Gedanken dazu machst, und sie uns mitteilst.

gruß,
wahsaga

[Hans]

Und ich hätte gern, dass du dir eigene Gedanken dazu machst, und sie uns mitteilst.

.<

ehm...

Cookies hört sich für mich nach
1. leichter fakebar
2. leichter missbrauchbar
3. leichter auslesbar
an.

Session könnte je nach Server in der Adressleiste ngezeigt werden was man ggf. auch missbrauchen könnte.
Was an Cookies positiv ist, ist das ich dem User anbieten kann "dauerhaft angemeldet" zu bleiben.

mfg

Hans

[Tom]

Hello,

Session könnte je nach Server in der Adressleiste ngezeigt werden was man ggf. auch missbrauchen könnte.
Was an Cookies positiv ist, ist das ich dem User anbieten kann "dauerhaft angemeldet" zu bleiben.

Sessions werden üblicherweise auch mittels Cookie, der im HTTP-Header übertragen wird, geführt. Session-Identifier, die über die URL übergeben werden, fürhren nur zu Problemen, da sie auch bookmarked werden können und später auch in Suchmaschinen auftauchen könnten.

Die Session sollte dann zwar beim Wiederaufruf schon abgelaufen sein, aber es bedeutet doch eine überflüssige Beslastung.

Selbstverständlich könnten Server und Proxies die Daten aus dem Header auch zwischenspeichern. Das ist aber aber nicht die Regel, weil kein Sinn darin stecken wüde. Daten aus der URL sind aber üblicherweise Aufrufparameter, die sehr wohl gespeichert werden sollen.

Harzliche Grüße vom Berg
http://www.annerschbarrich.de

Tom

[Tom]

Hello,

gucken ob der User mit dem PW in der MySQL DB existiert
falls ja ne Session starten mit 3 $_SESSION Variablen

Die Existenz der Session sollte nicht das Kriterium für den Zugriff bilden.
Die Session sollte man als erstes starten.
Innerhalb der Session kann der User dann um Zugang nachfragen.
Die Session sollte man mit einem transienten Cookie führen.
Nach der Zugangserteilung kann man ggf. zusätzlich noch einen permanenten Cookie verschicken.

Die Zugangsberechtigung sollte _bei_ _jedem_ _Zugriff_ geprüft werden. Nur das ermöglicht eine zeitnahe Rechteüberwachung.

Harzliche Grüße vom Berg
http://www.annerschbarrich.de

Tom

[Hans]

Hallo

Die Existenz der Session sollte nicht das Kriterium für den Zugriff bilden.
Die Session sollte man als erstes starten.
Innerhalb der Session kann der User dann um Zugang nachfragen.

Okay bis dahin verstanden so mache ich das eigendl auch das war nur grob.

Die Session sollte man mit einem transienten Cookie führen.

Erklärung?

Nach der Zugangserteilung kann man ggf. zusätzlich noch einen permanenten Cookie verschicken.

Erklärung?

Die Zugangsberechtigung sollte _bei_ _jedem_ _Zugriff_ geprüft werden. Nur das ermöglicht eine zeitnahe Rechteüberwachung.

Hatte ich auch vor!

mfg

Hans