Qualche dubbio sulle sessioni

[skateman]

Ciao a tutti.

Ho letto qualcosa sul fatto che le session per i Login possono essere insicure. Ma se fatte tramite hash della password su database sono insicure lostesso?

Per esempio questo forum come tiene conto di che è loggato? Perchè ho notato che una sessione normale schade quando si chiude il client, a meno di non impostarla diversamente mentre quella del forum mi scade sempre mentre scrivo il mio post!

Le sessioni sono il modo migliore per mantenere il Login degli utenti oppure si può fare di meglio?

Grazie
Valerio

[skateman]

nessuna risposta?

[Leo15]

Se vuoi un ottimo grado di sicurezza devi ricorrere ad SSL.
Se invece ti interessa semplicemente mantenere un buon grado di sicurezza basta non salvare nelle sessioni dei dati che modificati potrebbero alterare lo stato di login.
Ad esempio se salvi nella sessione l'user id o l'username corri senza dubbio dei rischi.
Se invece salvi un id di sessione generato pseudo-casualmente e conservato anche nel tuo DB già diventa qualcosa di un po' più sicuro.

[skateman]

Grazie

[alcio74]

In questo sito, c'è una buona guida sulla sicurezza in PHP.
Eccoti il LINK.
Leggiti bene la parte riguardante le sessioni: c'è diverso materiale che può tornarti utile.

[skateman]

grazie ancora