Поддержание сеанса на нескольких страницах

Question

У меня возникли проблемы с созданием способа сохранения сеанса с файлом cookie на нескольких страницах. Я делаю что-то очень похожее на это tutorial. Я проверяю пароль и имя пользователя на всплывающей странице, и если это правильно, я устанавливаю файл cookie и заполняю его хешем. После этого я переношу пользователя на другую страницу. Если имя пользователя/пароль неверно, оно просто перенаправляется обратно на страницу всплеска.

Основная проблема, которую я не могу понять, - проверить, насколько важен cookie на нескольких страницах. Как показывает учебное пособие, я делаю это на PHP. Я полагаю, что размещение хэша на новой странице неверно, но я не могу придумать другой способ проверить правильность сеанса/пользователя перед загрузкой страницы.

Заранее спасибо.

Answer 1

Этот учебник учит вас делать вещи крайне небезопасно. Невероятно плохо хранить данные аутентификации такого типа в файлах cookie, особенно с использованием таких очень очевидных имен, как «имя пользователя» и «пароль».

Лучше (и невероятно безопаснее, чем учит «учебник») - это использовать регулярные сеансы PHP. PHP позаботится о настройке cookie сеанса для вас, и все, что вы делаете, - это хранить ваши данные аутентификации в сеансе. Эти данные никогда не будут отправляться пользователю, если вы не сделаете это самостоятельно. Единственное, что происходит взад и вперед, - это cookie сеанса, который представляет собой строку случайного мусора, который «уникально» идентифицирует пользователя для PHP.

После того, как вы получили, что часть сделала, то небольшой фрагмент кода в верхней части всех входа-страниц требуется, это выглядит примерно так:

<?php 

session_start() 
if ($_SESSION['loggedin'] !== TRUE) { 
    header("Location: http://example.com/login.php"); 
    echo 'You must log in first'; 
    exit(); 
} 
?> 
<h1>Welcome back, <?php echo $_SESSION['username'] ?></h1> 

Если вы не работаете на неправильно настроенный PHP или PHP-версия из каменного века, нет никакого способа, чтобы удаленный пользователь каким-то образом установил флаг «loggedin», не пройдя сначала код.