nicht angemeldet
Hallo leute,
ich habe da eine ziemlich amateurhafte Frage:
Ich habe eine Homepage mit einem Mitgliederbereich. Die Leute können sich einloggen und bekommen vom System eine Session zugewiesen.
(Transparentes Sessionmanagement)
In den weiteren Seiten werden natürlich auch Parameter an andere Seiten übergeben & Co.
Ich möchte nun verhindern, dass jemand an der URL rumspielt bzw. über die URL irgendeinen Schadcode einbringt.
Die einzige Möglichkeit, die ich kenne, um eine Manupulation an der URL zu verhindern ist, dass ich überprüfe, ob die Session noch vorhanden ist. Wenn ja, dann wurde Seite korrekt aufgerufen. Ist sie nicht mehr vorhanden, dann wurde höchstwahrshceinlich an der URL rumgespielt und ich logge den User aus.
Problem: Wenn der User den Vor- oder Zurück-Button des Browsers benutzt, ist die SID auch weg und ich logge den User aus. --> doof!
Wie kann ich alternativ eine Manupulation an der URL erkennen?
Alternative Sicherheitsmechanismen?
Gruß, Hakan