pro Tab eine eigenstaendige Session

[Tom]

Hello,

Es sollte vollkommen ausreichen, wenn du bei PHP einfach die Nutzung von Cookies für die Sessions deaktivierst.

Du meinst in der php.ini ...

session.use_cookies = "0"

... setzen reicht?

session.use_trans_sid = 1  muss auch noch gesetzt werden.

Beliebte Standardeinstellungen sind:

session.use_cookies         On On
session.use_only_cookies Off Off
session.use_trans_sid         0 0

Ich muss ja trotzdem Session-ID/Name uebergeben, oder?

Das wiederum macht PHP alleine.

session.name                PHPSESSID PHPSESSID

wäre da die Voreinstellung. Wenn Du einen anderen willst, was bei Dir ja der Fall sein muss, musst Du den VOR dem session_start() mit session_name('NEUER_NAME') setzen.

Und dass ist genau was mein Code macht, nur halt mit dem etwas (meines Erachtens haesslichem) output_add_rewrite_var(VAR_NAME, VAR_VALUE); jeweils einmal fuer Session-ID und Session-Name.

Das macht dann der Webserver.

Und den Code hätte ich gerne, den kann ich dann noch weiterverwenden :-)

Ich wollte es Dir nach Martins Einwurf auf mein "mit verdeckten Methoden geht es nicht" erst posten, aber dann dachte ich darüber nach, dass ich vorher lieber noch die Sicherheitslücke, die ich darin ahne, überprüfen wollte. Ich bin mir nämlich nicht sicher, ob ausschließlich die Links und Action-Attribute für die eigene Domain von PHP umgeschrieben werden, oder auch solche, die auf Fremdseiten verweisen.

Das wäre nämlich gar nicht schön, weil Deine Nutzer dann Deine Session-IDs auch noch unter Beigabe des  Referers breit in der Gegend verstreuen würden.

Wie gesagt, ich habe es noch nicht ausprobiert. Das solltest Du dann mal machen. Wie Du es überprüfen kannst, weiß ich noch nicht. Vielleicht mit ob_start()? Ich weiß aber nicht, wann PHP die Ersetzungen durchführt, vor oder nach dem ob_end_*()

Da hilft dann vielleicht eine zweite Domain, auf die Du Zugriff hast.

Harzliche Grüße vom Berg
http://bergpost.annerschbarrich.de

Tom