|
| |
|
|
| |
для: KIM
(09.09.2006 в 22:47)
| | | Зачем мучатся со всякими поисковиками и тд и тп. Всё наверно проще если при регистрации переменной сессии с Логином зарегистрировать переменную с ip, и при работе пользователя со страницей сравнивать ИП. Вот и всё! Или это ошибка? | |
| |
|
|
| |
|
|
| |
для: tAleks
(16.09.2006 в 02:50)
| | | Нужно, чтобы к моменту попадания, он переставал быть действительными - т.е. завершать сессию. | |
| |
|
|
| |
|
|
| |
для: cheops
(16.09.2006 в 01:11)
| | | Да ахринеть можно... а как тогда от этого защититься?
Как предотвратить попадание SID в поисковик? | |
| |
|
|
| |
|
|
| |
для: Unkind™
(16.09.2006 в 00:18)
| | | >Это еще каким образом? :)
Тоже всегда безумно интересовало как они туда попадют... сейчас тему не найду, но есть реальные случае - заказывает человек что-то, а его заказ потом висит в yandex.ru, даже SQL-инъекции в поисковики попадают, не то что SID... По идее такие ссылки никак не должны попадать в резульататы поиска, но попадают... вероятно это работа баннеров поисковых систем, которые считают статистику, а заодно подкармливают ссылками роботов. | |
| |
|
|
| |
|
|
| |
для: babilonian
(16.09.2006 в 00:07)
| | | Скажу, что правы... ещё можно полностью реализовать собственный движок сессий http://www.softtime.ru/forum/read.php?id_forum=1&id_theme=5253, в этом случае можно очень гибко работать с сессиями, например, закрывать их после того, как от пользователя нет активности в течении 20 минут. | |
| |
|
|
| |
|
|
| |
для: KIM
(13.09.2006 в 22:14)
| | | А как SID украсть? Подобрать его практически нереально.
Смотря какой SID.
А если в SESSION хешированный идентификатор сессии передавать, который по таймауту закрывается?
Что? :))
GET-параметр может попасть в поисковик
Это еще каким образом? :) Туда может попасть только SID бота-поисковика ведь.
И хранить только логин в файле сессии - не нужно совсем. Зачем? Пароль светить не надо, а если админ захочет изменить пароль, то пользователь ничего не почувствует. | |
| |
|
|
| |
|
|
| |
для: cheops
(14.09.2006 в 19:31)
| | | А если в SESSION хешированный идентификатор сессии передавать, который по таймауту закрывается? Такой вариант на мой взгляд безопаснее будет. Что скажете, Хеопс? | |
| |
|
|
| |
|
|
| |
для: KIM
(13.09.2006 в 22:14)
| | | SID хранится в cookie или в GET-параметре, GET-параметр может попасть в поисковик - берут от туда, из cookie SID крадётся XSS-атакой. | |
| |
|
|
| |
|
|
| |
для: KIM
(13.09.2006 в 22:14)
| | | Народ!
Реально вообще без SESSION обойтись безопасно?Я к примеру авторизацию делаю только по куки. | |
| |
|
|
| |
|
|
| |
для: programmer_2006
(11.09.2006 в 19:19)
| | | А как SID украсть? Подобрать его практически нереально. А украсть? | |
| |
|
|
|
