Einloggen in privaten Bereich - sicherheit??

[Tom]

Hello,

Auf jeder nachfolgenden Seite beginnst(!) du wieder mit session_start(); und machst eine einfach Abfrage:

<?php
session_start();
if($_SESSION['id']!=session_id()){
  die('Nicht angemeldet');
}

> Das fuehrt zu einem Warning, falls keine Session wiedehergestellt wurde, weil die Variable $\_SESSION['id'] nicht existiert. Wenn sie doch existiert, ist sie zwingend gleich dem Rueckgabewert von session\_id().  
  
Nö, nicht bevor mein Programm sie in die Session-Datei geschreiben hat. Sagst Du doch gerade selber.  
  
if (!isset($\_SESSION['id']))  
{  
    ## nicht angemeldet  
}  
  
  
Die Session selber hat ja nichts mit direkt damit zu tun, ob sich ein User bereits identifiziert hat. Erst, wenn er Identifikationsmerkmale gesendet hat, und z.B. auf 'anmelden' geklickt hat, beginnt das Authentifizierungsverfahren.  
  
Um diese Authentifizierung aufrecht zu erhalten, kann dann der Sessionmechanismus benutzt werden. Man könnte aber auch bei jedem Request die Identifikationsmerkmale erneut mitsenden, was aber die Summe der Requests unsicherer macht.  
  
  
  
  
  
  
Liebe Grüße aus dem schönen Oberharz  
  
  
Tom vom Berg  
![](http://selfhtml.bitworks.de/Virencheck.gif)  
  

-- 
Nur selber lernen macht schlau  
<http://bergpost.annerschbarrich.de>