Дмитрий Сергеевич (axshavan) wrote,
Дмитрий Сергеевич
axshavan

Balo и сессии (и немного хвастовства)

Недавно ковырялся в мисатином движке под названием "Бало". Ударение на о. Смотрел, как там организованы сессии. Очень просто, как и они, вообщем-то, и должны быть организованы:
session_start();
Только вот незадача - хранимые в сессии переменные, а именно ид и ник залогиненного пользователя неизвестным образом исчезают, то есть просто происходит самопроизвольный логаут через некоторое время бездействия. Возможно, это связано (по крайней мере, как я считаю) с настройками пхп на роаче, правда, с какими именно, судить не берусь. Вопрос пока открыт, насколько я знаю.

Когда я придумывал прошлой осенью свою систему, я отказался от встроенных в пхп сессий вообще. Изобретать велосипед тоже довольно интересно. Я реализовал стабильный и хорошо защищенный механизм.
От передачи параметра по ссылке я отказался, потому что 1) всякие XSS-атаки, 2) мне эта хрень в строке браузера не нравится. Вся необходимая информация хранится в кукисах. В одной большой, точнее, которая состоит из трех мд5-хэшей. Первый хэш - соответственно хэш ид сессии в базе данных, второй - хэш пользовательского пароля. Существует, конечно, некоторая вероятность, связанная с взаимно-неоднозначным соответствием параметр-хэш (ну на то он и хэш), что у кого-то будут совпадать хэши и ид сессий, и паролей. Однако, эта вероятность сведена на нет третьим хэшем, который является мд5-хэшем ип машины, с которой прилетела кука. И так же это полностью предохраняет от воровства кукисов.
Даже если злоумышленник, прочитав эту статью, решит украсть чью-нибудь куку, например, мою, и плдставить туда мд5-хэш ип своего компа, ничего у него не выйдет - символы всех трех хэшей хитрым образом перемешаны меж собой. У меня даже две функции есть - encode_cookie и decode_cookie, которые занимаются прямыми и обратными преобразованиями.
Надо, что ли, придумать и для своего движка название. Хотя какой это движок... так, система ведения сессий.
Tags: backdate, web
Subscribe

  • Плёнка №185

    Тематика снимков обычная: городское фото. Время съёмок: март 2021. Плёнка: Fomapan profi line action 400 Фотоаппарат и объектив: Zenit-E + Helios…

  • Фотографии с двух прогулок

    Четвёртого апреля было, хотя и ветрено, но солнечно и относительно тепло. Не то, что сегодня... сегодня погода испортилась и снова стало холодно. К…

  • Плёнка №183

    Плёнка: Agfaphoto APX 400 Фотоаппарат и объектив: Zenit-E + Helios 44-2 2/58 Проявитель: Fomadon LQR Сканер: FilmScan 35 II…

  • Post a new comment

    Error

    Comments allowed for friends only

    Anonymous comments are disabled in this journal

    default userpic

    Your reply will be screened

    Your IP address will be recorded 

  • 0 comments