Sicherheitsfrage beim Login

[dedlfix]

Hi!

ich habe ein datenbankgestürtztes Login-System, bei dem ich nach erfolgtem Login je Seitenaufruf prüfe, ob sich die Session_id geändert hat und eine bestimmte Inaktivitätszeit nicht überschritten ist.

Inwieweit sollte sich die Session-ID ändern und wie bekommst du das mit? Üblicherwiese ist die Session-ID ein Request-Parameter (meist in Form eines Cookies), den der Client mitsendet. Eine andere ID bedeutet auch ein anderer Benutzer. Unbekannte IDs (beziehungsweise IDs ohne dass dazu Session-Daten auf dem Server zu finden sind) sind kein Nutzer und zählen wie unangemeldet.

Lo!