sessioni, cookie, login, password

[LucianoS]

Sto realizzando un'area protetta: se c'è l'utente nel database, avvio una sessione con
session_start();
A questo punto sorgono i dubbi: viene creato un file su apache con dentro
loggato|i:1;username|s:5:"admin";
e un cookie sul client con il valore della sessione (uguale a quello che sta sul server).

1 Va bene come sistema?
2 è aggirabile/modificabile il file sul server?
3 perchè altri sistemi di login fanno uso di cookie "normali" ($_COOKIE)? sono necessari nel mio script?
4 in altre aree protette vedo spesso la variabile di sessione accodata all'url e/o il cookie sul client (con dentro info diverse dal file di sessione su server): perchè col mio script non avviene? in cosa differisce? è migliore come sistema?

grazie e ciao

[LucianoS]

up

[mark2x]

Prima di tutto: il server su cui gira il tuo programma è in hosting? Se sì le cose sono un poco più critiche.
Se no, le seguenti sono le risposte:

1. certo, è quello sempre usato (a meno di non salvare le sessioni su db, ma è una chiccha);
2. se il server è tuo, il file di sessione è modificabile solo se hai configurato male il server o in esso girano applicazioni bacate;
3. se ti sta bene che la sessione scada alla chiusura del browser vivi tranquillo così;
4. anche tu immagino userai cookie sui client!! I passaggi di SID via GET sono sconsigliati.

Ciao.

[LucianoS]

al momento è su macchine locali ma potrei portarlo in hosting (quindi pubblico), perchè no.

Che intendi per "configurato male il server"? quali parametri di apache e php dovrei controllare, esattamente?

Se non voglio che la sessione scada alla chiusura del browser, devo mettere nel cookie il sess_id o anche altri parametri?

Per ciò che dicevo prima sui cookie che vedo usare in giro, per esempio, questo forum nel cookie invia:
bbpassword (immagino sia l'md5 della pw)
sessionhash (l'hash della sessione? se sì, calcolato come?)

Non poteva semplicemente lasciare il cookie di sessione sul client e il file di sessione (con tutte le info importanti) sul server come faccio io?

[LucianoS]

up