id sessione appeso nella pagina

[bejelit]

ho già letto pillole ed articoli sulle sessioni quindi non mi rimandate a leggerli, vorrei solo chiedervi se voi ritenete sicuro un sistema che passa l'id di sessione appesa all'url della pagine, come fosse una variabile get, è un sistema usato anche da siti e forum grossi.

è un sistema valido?
da un pò uso un sistema che salva l'id di sessione nel db, credo sia meglio, voi che dite?

[gm]

[supersaibal]Originariamente inviato da bejelit
da un pò uso un sistema che salva l'id di sessione nel db, credo sia meglio, voi che dite? [/supersaibal]

Ok per l'id di sessione nel DB, ma poi devi sempre propagarlo in qualche modo, e i modi essenzialmente sono due: GET e COOKIE

[bejelit]

[supersaibal]Originariamente inviato da gm
Ok per l'id di sessione nel DB, ma poi devi sempre propagarlo in qualche modo, e i modi essenzialmente sono due: GET e COOKIE [/supersaibal]

è esattamente questo che non ho capito, io metto l'id di sessione in variabile con
$id = session_id();

poi lo salvo su db abbinandolo all'utente.

per fare i controlli confronto l'id del db con l'id del browser che ottengo sempre con
$id = session_id();

chiaramente se chiudo il browser e lo riapro non risulterò loggato.

il metodo di mettere l'id nel cookie lo sto per fare ma serve solo per essere riconosciuto anche se si è chiuso il browser, giusto?
in questo caso confrontando l'id nel cookie con quello del db se ho capito bene.