Ein Loginscript - so weit, so gut

[Malcolm Beck`s]

Hi Jörg,

Damit macht Du das kaputt, was Du erreichen willst. Der User hat inzwischen nämlich eine neue IP, weil sein ISP ihm die neue nach 24h verpasst hat. Hint: Das kann auch um 14:23 erfolgen.

Sind viele Nutzer von solchen ISPs betroffen? Ich hatte sowas meine ich noch nie. Aber ich hab mir leider auch nicht immer angeguckt, welche IPs ich so hatte.

Das gehaschte Passwort im Cookie ist so unnötig wie ein Kropf und ist potentiell geeignet, die Sicherheit noch mehr zu beschädigen als es die Langzeitsession so oder so schon tut.

Ok, ihr habt mich überzeugt. Hattet ihr eigentlich schon viel Früher geschafft, aber ich wollte auf Nummer sicher gehen :)

Wie wäre folgendes: Statt das ich das Passwort im Cookie speichere, speichere ich bei einem regulären Login einfach einen Token in der DB (evtl. die IP in gehashter Form?), quasi eine Passwort-Alternative. Es sollte doch kein Problem darstellen? Für jedes Login an einem Client ein eigener Token, und auf Userseite noch die Datenbank-ID des Tokens im Cookie festhalten. Ich möchte auf gar keinen Fall selber irgendwelche Textdateien erstellen und speichern müssen, weil das meist der Anfang vom Ende ist :)

Es geht mir eigentlich nur darum, den User zu erkennen, bei dem keine Session mehr ist, um die Session neu starten zu können. Denn die Session wird ja zerstört, sobald der User den Browser schliesst. Daher muss ich ja irgendeine Info beim User lassen, die keiner so leicht erraten kann. Daher kam ich überhaupt erst auf den Klopps mit dem Passwort im Cookie.

Die meisten Tipps von euch waren schon sehr hilfreich für mich. Damit kann ich was anfangen, nur dieser eine Punkt gibt mir noch etwas zu denken. Oder ich verstehe eure Lösungsvorschläge nicht.

Was ich schon mal in die Klasse übernehme, also abgehakt sind.

session.regenerate // nach dem ersten Login
Cookie             // httponly und flags setzen
password_hash      // ich muss öfter mal wieder lesen, ich programmiere auf dem Stand von 2012 :)
password_verify    // antworten auf nie gestellte Fragen sind immer noch die besten :)

Was mache ich nun mit dem Cookie?

Bis bald