Id di sessione e Sicurezza

[kilio]

come lego queste due cosucce?
insomma se l'utonto mi chiude il browser ma si conserva il suo bel cookie rimane connesso alla riapertura del browser, ma la sessione ?

[Etilico]

devi scrivere del code in modo che se c'è il cookie ti ricrei la sessione...

[DarCas]

La sessione la puoi leggere con

$_REQUEST['PHPSESSID'] 

è un dato che non si ripete mai (o più correttamente con una cadenza statistica trascurabilmente elevata da considerarla nulla, ma per questo fai una ricerca, non sò darti dati più precisi), e cambia ad ogni nuova sessione tra browser e server.

[Fabio Heller]

Originariamente inviato da kilio
come lego queste due cosucce?
insomma se l'utonto mi chiude il browser ma si conserva il suo bel cookie rimane connesso alla riapertura del browser, ma la sessione ?

Ciao,
se dopo aver riaerto il browser l'utente entra in una pagina che contiene session_start(), trova la sessione intatta se il cookie usato non era temporaneo (session.cookie_lifetime diverso da 0) o se immette l'id di sessione nell'url.
E' però necessario che nel frattempo non sia scaduto il tempo di inutilizzo della sessione (session.gc_maxlifetime, default 1440).

A sessione attiva l'id di sessione lo trovi con session_id()

[kilio]

okey quindi ogni volta che riapre il browser, altra sessione.
dovrei quindi usare il cookie!

ma l'utente (quello cattivello) poi mi sgama la sessione e mi distrugge tutto.
cmq non credo esista altro metodo

[Fabio Heller]

Originariamente inviato da kilio
ma l'utente (quello cattivello) poi mi sgama la sessione e mi distrugge tutto.
cmq non credo esista altro metodo

Quello cattivello deve poter accedere al client, oppure fare lo sniffing del traffico di rete (ma contro quest'ultima evenienza c'è solo ssl)