Аутентификация сеанса PHP на основе User Agent

Question

У меня есть аутентификация сеанса на основе User-Agent. После каждого запроса я проверяю, изменился ли пользовательский агент. Если это так, пользователь выйдет из системы (сеанс, возможно, был захвачен).

Все прошло отлично, пока ... некоторые пользователи IE не жаловались на проблемы после запросов ajax.

После нескольких бессонных ночей я начал регистрировать пользовательские агенты для каждого запроса и сравнивал их. И WTF, некоторые версии IE добавляют «ICAPoHTTPS» к пользовательскому агенту, если это запрос ajax.

У кого-нибудь есть идея, почему?

Спасибо, и я надеюсь, что это поможет другим ...

Answer 1

Полезные новости, havn't заметил, что.

В любом случае, я бы не использовал User Agent, поскольку он основан на программном обеспечении/заголовке, и если кто-то может заблокировать сессию и включить файлы cookie в браузер должным образом, он, вероятно, может захватить строку пользовательского агента и ввести ее тоже.

Обычно я использую REMOTE_ADDR, что также не мешает человеку работать из той же подсети, что и ее жертва.

---

Edit:

Вы можете ходить вокруг этого, отправив входа в форму через AJAX, и чем перенаправить на успех. Предполагая, что сеанс свежий на дисплее формы, он будет собирать стандартную строку пользовательского агента, а при операции входа - вторичную. Таким образом, в вашей ситуации вы будете собирать не более двух строк User Agent, которые вы хотите проверить.

Надеюсь, вы осознаете факт, что Пользовательский агент является редактируемым заголовком и может использоваться для inject malicious code/queries.