Я использую простую систему входа на основе переменных SESSION. Как только пользователь входит в систему, устанавливается переменная сеанса, которая сообщает моему сценарию, что пользователь должен быть принят. Я не использую никаких пользовательских переменных cookie на стороне клиента.
Я хотел бы предложить опцию на экране входа в систему с надписью «держать меня в системе в течение всего дня». Как сделать это безопасным способом?
Во-первых: настройте директиву session.cookie_lifetime либо в php.ini, файлы конфигурации или через session_set_cookie_params().
Затем сохраните имя пользователя и хеш-значение пароля в сеансе и проверяйте этот вход на каждой странице. Пока он еще действителен, они остаются в системе.
Естественное истечение срока действия файла cookie сеанса обычно должно поддерживать порядок, так как у вас не будет выхода из системы в середине сеанса (если, конечно, звездочки совпадают), если они будут поддерживать его в активном состоянии. Однако в противном случае я бы посчитал решение eCartoth вторым, так как вы могли бы просто добавить вторую строку в оператор if:
if (my_validate_user_function($_SESSION['username'],$_SESSION['passhash'])
&& $_SESSION['deathstamp'] > time()
) {
// user is logged in again, oh boy!
}
else {
// send in the death robots
header('Location: /login.php',true,302);
}
РЕДАКТИРОВАТЬ: Одна вещь, которую вы, возможно, захотите рассмотреть, - это фиксация сеанса и / или захват сеанса. Чтобы предотвратить это, я бы порекомендовал одно (или оба) из двух решений:
session_regenerate_id() после каждой успешной попытки входа в систему.__destruct(), иначе объект может быть уничтожен сборкой мусора до сохранения сеанса.
- person Dereleased; 18.07.2011
Когда вы говорите «держать меня в системе весь день», я предполагаю, что вы имеете в виду только эту конкретную машину, верно? Вы можете использовать таблицу mysql для запоминания «времени входа в систему» или отметки времени, когда этот вход в систему больше не будет действителен, если они решат оставаться в системе весь день. Затем добавьте сценарий в начало вашего кода, который извлекает идентификатор этого пользователя из переменных сеанса. Сравните текущую временную метку этого пользователя с сохраненными «последними действительными ts», и если это время прошло, вы знаете, что они должны выйти из системы, после чего вы стираете сеанс и заставляете пользователя снова войти в систему. Этот метод означает, что они фактически не выйдут из системы, пока они не попытаются сделать что-то после этого момента, но им это будет казаться так. Кроме того, вместо использования базы данных mysql вы также можете сохранить этот последний действительный TS в переменной сеанса.
Так, например, когда пользователь впервые входит в систему с помощью «держать меня в системе выбран весь день»:
$_SESSION['log_me_out_at'] = strtotime(date("Y-m-d ")."23:59:59");
Затем каждый раз, когда в вашей системе осуществляется доступ к странице:
if( $_SESSION['log_me_out_at'] < time() ){
unset($_SESSION['user_is_accepted_in']);
}
Одним из вариантов может быть настройка таблицы MySQL, которая сохраняет переменные сеанса и связывает их с IP-адресами и сроком действия, но я не уверен во всех деталях того, как это будет реализовано.
Самый простой (но не рекомендуемый) способ сделать то, что вы ищете, - это установить $_COOKIE с именем пользователя и паролем на компьютере, которые ваш сайт затем будет проверять, когда пользователь входит в систему. .
Для дополнительной безопасности лучше всего сохранить только один файл cookie в качестве соленого MD5-хэша данных пользователя, чтобы предоставить потенциальному хакеру меньше информации о данных учетной записи пользователя. Продолжительность может быть установлена при установке cookie; На php.net есть достаточно полная документация о том, как это сделать.
