Jak dělat správně přihlášení přes cookies

27. 3. 2013 10:20:27

Při přihlášení uživatele uložím do cookies jeho ID a kód vypočítaný z ID (osolený MD5). Při následném zobrazování stránek načtu z cookies ID uživatele a z tohoto vypočítám zmíněný kód a zkontroluju, jestli je shodný s tím uloženým v cookies.

Při odhlášení uživatele cookies vymažu.

1. Je to tak dobře nebo to lze dělat nějak bezpečněji? Když si někdo přečte cookies na počítači, kde je zrovna někdo přihlášený, tak pak se může přihlásit i jinde, pokud podvrhe cookies, dá se s tím něco dělat?

2. Kdybych chtěl jedno společné přihlašovaní pro více domén (dom1.com, blabla.cz), tj. přihlásil bych se na jedné a byl bych přihlášený i na druhé, jak se to dělá? Protože pak nastává problém s cookies, nemůžu číst cookies z jiné domény.

Dík

27. 3. 2013 10:20:27

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883337

Marek Zak

(25 hodnocení)

27. 3. 2013 10:34:52

COOKIES se NIKDY nepoužívají na příhlášení z důvodu, že se ukládají na straně klienta.

27. 3. 2013 10:34:52

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883336

FAKAM

(10 hodnocení)

27. 3. 2013 10:36:45

A ak chce trvale prihlásenie?

27. 3. 2013 10:36:45

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883335

Martin Bárta

(28 hodnocení)

27. 3. 2013 10:38:38

1) Pro přihlášení rozhodně lepší SESSION

2) Pokud chceš uživatele přihlašovat natrvalo, tak mu cookies vytvoř z nějakýho náhodnýho řetězce, který si uložíš do DB.

27. 3. 2013 10:38:38

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883334

Marek Zak

(25 hodnocení)

27. 3. 2013 10:40:12

Napsal bartama;928767
1) Pro přihlášení rozhodně lepší SESSION
2) Pokud chceš uživatele přihlašovat natrvalo, tak mu cookies vytvoř z nějakýho náhodnýho řetězce, který si uložíš do DB.

Tak tak.

Nemyslel jsem, aby se cookies nevyužívalo vůbec, to se omlouvám, pokud to tak vyznělo.

27. 3. 2013 10:40:12

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883333

sthr

27. 3. 2013 10:45:20

Ano, chci trvale prihlaseni a nechci parametr (sessionId nebo neco takoveho) v URL, takze ukladani na strane klienta se nevyhnu. A jak se lisi SESSION od toho, kdyz to udelam rucne, respektive, jak jinak to dela SESSION?

27. 3. 2013 10:45:20

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883332

Martin Bárta

(28 hodnocení)

27. 3. 2013 11:36:43

Nerozumím ti, ale po úspěšné autentizaci uživatele (přihlášení) mu přiřadíš SESSION a ta je uložena na serveru, nikde v URL ji nenajde.

Př.

// vždy jen zkontroluješ zda tam tu ID má, pokud ne, hodíš ho na přihlášení

$_SESSION = '12345';

(Nezapomeň za začátku stránky před jakýmkoliv jiným kódem nastartovat session.

27. 3. 2013 11:36:43

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883331

Kovboj

(13 hodnocení)

27. 3. 2013 11:46:41

Napsal sthr;928759
Když si někdo přečte cookies na počítači, kde je zrovna někdo přihlášený, tak pak se může přihlásit i jinde, pokud podvrhe cookies, dá se s tím něco dělat?

Kontroluj i IP adresu zda souhlasí s tou ze které se uživatel přihlásil. Pokud souhlasí cookie ale ne IP, tak uživatele odhlaš.

27. 3. 2013 11:46:41

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883330

sthr

27. 3. 2013 12:44:07

No, problém je v tom, že to potřebuju dělat i v jiném jazyce, než PHP, tak bych potřeboval to dělat ručně přes cookies.

IP kontrolovat nemůžu, může být přidělovana dynamicky, jak už tu je psáno, potřebuju trvalé přihlášení.

Sessions také využívají cookies, jak jsou dělána sessions, že poskytují vyšší bezpečnost?

27. 3. 2013 12:44:07

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883329

Kovboj

(13 hodnocení)

27. 3. 2013 13:51:58

Napsal sthr;928866
No, problém je v tom, že to potřebuju dělat i v jiném jazyce, než PHP, tak bych potřeboval to dělat ručně přes cookies.
IP kontrolovat nemůžu, může být přidělovana dynamicky, jak už tu je psáno, potřebuju trvalé přihlášení.
Sessions také využívají cookies, jak jsou dělána sessions, že poskytují vyšší bezpečnost?

Dynamická IP neznamená že se ti sama v průběhu připojení změní. Jen že pokud se od sítě "odhlásíš" a pak přihlásíš znovu tak můžeš mít jinou. Pochybuji že potřebuješ až tak trvalé přihlášení, aby vydrželo i vypnutí celého počítače a jeho nové zapnutí.

27. 3. 2013 13:51:58

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883328

sthr

27. 3. 2013 14:02:07

Ale ano, přesně tak trvalé přihlášení potřebuju. Stejné, jako je třeba na Webtrhu.

27. 3. 2013 14:02:07

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883327

(20 hodnocení)

27. 3. 2013 21:06:28

na trvale prihlaseni nikdy nepocitej retezec, ale geenruj nahodny token ktery si ulozis do db a budes prihlaseni kontrolovat proti nemu, aprve utocnik se tak nemuze dostat k libovolnemu uctu v pripade ze by prisel na zpusob tvorby retezce (proste protoze ej uplne nahodny) a za druhe si k nemu pekne priradis expiraci a pokud clovek X dni (obvykle tyden) na stranku neprijde, automaticky ho to odhlasi

27. 3. 2013 21:06:28

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883326

node

(5 hodnocení)

30. 3. 2013 12:24:22

Ja to riesim na jendom projekte tak ze si vygenerujem UUID a ten ulozim userovi do cookie. Potom mam jednu konstantnu hodnotu SALT. Vezmem UUID pripojim k tomu SALT a spravim z toho hash sha1($uuid . $token), ktory tiez ulozim userovi do cookie. No a potom iba vzdy spravim kontrolu ci suhlasi hash a je to.

30. 3. 2013 12:24:22

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883325

Ondřej Švec

30. 3. 2013 12:38:20

Napsal Kovboj;928896
Dynamická IP neznamená že se ti sama v průběhu připojení změní. Jen že pokud se od sítě "odhlásíš" a pak přihlásíš znovu tak můžeš mít jinou. Pochybuji že potřebuješ až tak trvalé přihlášení, aby vydrželo i vypnutí celého počítače a jeho nové zapnutí.

Takto bych ověřování teda radši nedělal - například pro dnes již normálně využívané mobilní sítě: pokud popojdeš pár metrů a náhodou si tě přepojí vysílače, dostaneš jinou generickou IP a budeš odhlášený z ničeho nic.

30. 3. 2013 12:38:20

0 0

Líbí se: zatím nikdo

Nelíbí se: zatím nikdo

https://webtrh.cz/diskuse/jak-delat-spravne-prihlaseni-pres-cookies/#reply883324

Pro odpověď se přihlašte.

Přihlásit