Autentifikacija i validacija korisnika?

Ovako, pravim jedan mali CMS sistem i potrebna mi je autentifikacija i validacija korisnika za pristup odredjenoj stranici.
Sve sam uradio, ali me interesuje da li pristup dobar.
Evo kako to vrisim.

1. Da li korisnik ima kljuc sesije?

2. Ima - Slobodan pristup stranici.

3. Nema - Vrsi se logovanje.

4. Ako su podaci koje je dao tacni korisniku se predaje kljuc (upisuje se u bazu).

5. Ako su nisu ispravni vraca se na logovanje sa informacijom o gresci.


Deo 1. mi stvara najvise nedoumica. Ja sam ovo sredio tako sto za tekuci kljuc sesije uzmem USERNAME iz baze i proverim da li taj korisnik ima pravo pristupa tekucoj stranici. Da li je taj nacin ispravan?

Inace u sesiji upisujem username i lastvisit iz baze. Da li je jos nesto korisno?

Hvala

Potpis

http://oliver.glogonj.net | http://www.glogonj.net

Pristup koji se uglavnom koristi na net-u je sledeci.
Kada se uloguje korisnik ima na raspolaganju kljuc sesije (koji se generise na slucajan nacin).
Ako sam dobro shvatio tvoj pristup svako ko zna koji su korisnici ulogovani na sistem moze da im otme sesiju tako sto ce kao svoj session ID poturiti username ulogovanog korisnika.

Potpis

Owl

??? a kako bi se bukvalno ta otimačina sprovodila?

Potpis

BoxUp
interesantna logička igra
Monty Hall paradoks - interaktivni demo

Ne, nego obratno. Za dati kljuc sesije trazi se u bazi username korisnika koji ima taj kljuc.
Znaci, kada se neki korisnik uloguje u bazu mu se upisuje kljuc sesije. Kada se korisnik sa tim istim kljucem ponovo vrati na tu stranicu kljuc sesije je isti. Za taj kljuc trazi se username i proverava se pravo pristupa.

PITANJE: Da li je mozda lakse, a isto tako SIGURNO, u sesiji upisati neku vrednost npr login=1 koja ce voditi racuna o tome da li je korisnik sa tim kljucem ulogovan.

Potpis

http://oliver.glogonj.net | http://www.glogonj.net

Od prevelike brige zna da zaboli glava. Ako sam na dial-up konekciji i pukne mi veza, konektujem se ponovo i naravno dobijam drugu IP adresu, a mene sajt šutne zato što pokušavam da otmem sebi sesiju. Pročitao sam da AOL mreža tako konfigurisana da korisnik na svaki request dobija novu IP adresu (e to je prava dinamika)...

Potpis

BoxUp
interesantna logička igra
Monty Hall paradoks - interaktivni demo

Da li možeš da mi objasniš zašto?

Samo serverska aplikacija može da pristupi session varijablama, ili grešim negde u osnovnim poimanjima?

Potpis

BoxUp
interesantna logička igra
Monty Hall paradoks - interaktivni demo

Nastala je zabuna zato sto podaci o sesiji mogu da se cuvaju i kod klijenta (tj u cookiju) a ne samo na serveru (fajl sistem, baza).
Kada se radi autentifikacija bitno je znati sta se nalazi kod klijenta (posto zlonamerni korisnici mogu da promene te podatke) a sta na serveru (tim podacima pristup ima samo aplikacija).
Dakle kada se korisnik loguje on aplikaciji salje svoj username i password a aplikacija mu vraca neki session_id pomocu koga ce pratiti njegovo kretanje na sajtu i prikazivati mu sadrzaj u zavisnosti od privilegija koje su vezane za taj session_id preko veze username <--> session_id. Sam session_id moze da se cuva u cookiju ili se prosledjuje kroz svaki url na sajtu.


Iz ovoga proizilazi da ti je session_id koji se vraca klijentu nakon logovanja sam njegov username (tj da su ti u svim redovima session tabele polja session_id i username ista)


U slucaju da njemu autentifikacija radi na prethodno opisan nacin (session_id=username), kada znas da je ulogovan neki korisnik ti kao session_id stavis njegov username i ulogovan si kao i on.

Potpis

Owl

Oh, pa ne znam kada bi mi palo na pamet da napravim vezu session_id=username. Nisam siguran da je to Oliver mislio u startu, ali sada kad ponovo čitam deluje mi i to moguće.

Potpis

BoxUp
interesantna logička igra
Monty Hall paradoks - interaktivni demo

Ne, nisam pravio takvu vezu (session_id=username). Ja sam se oslonio na to da je jako tesko (citaj nemoguce) da server dodeli dva ista kljuca sesije. Tako da ne moze da se desi sledeca situacija:
1. korisnik se uspesno uloguje i upise se kljuc sesije u bazu,
2. korisnik se ne izloguje - ne obrise se kljuc sesije iz baze (prilikom logout-a podesio sam da se u bazu za kljuc sesije postavi 0),
3. sledecem korisniku se dodeli kljuc sesije identican predhodnom,
4. proveri se u bazi i ustanovi da "pera" ima kljuc sesije,
5. slobodan prolaz do mile volje jer je "pera" ADMINISTRATOR bre.

Eh, to je problem.

Ova ideja sa posebnom tabelom za sesije mi se cini interesantnom pa ako moze malo vise da to prokomentarisemo.

Hvala,
javljam se kad se vratim se ipita.
P.S. Nisam pominjao kukije. Posto je rec o blogu za sada mi oni nisu potrebni.

Potpis

http://oliver.glogonj.net | http://www.glogonj.net

Tačka 3 bi trebalo da bude tačka pucanja. E sad, jeste da je praktično nemoguće da server dodeli iste ključeve sesije, ipak možeš i dodatno da se obezbediš generisanjem id-a sesije (npr. nema padanja na tački 3 ako je id timestamp + neki random ostatak).

Potpis

BoxUp
interesantna logička igra
Monty Hall paradoks - interaktivni demo

Cekaj jesu li u bezi odvojene tabele koje cuvaju podatke o korisniku i o sesijama. Mozes pomocu nekog ogranicenja na vrednost kljuceva sesije u bazi da onemogucis kreiranje dva ista session_id-a.

Potpis

Owl

Moram da priznam da mi uopšte nije jasna motivacija za beleženje session_id u bazu, pogotovo ako se radi o ulogovanom korisniku. Jedino možda za statistike, može da se prati svako logovanje pojedinačnog korisnika, kretanje po stranicama sajta, itd (sve ovo u tom slučaju važi i za neulogovanog korisnika, osim što se ne vezuje za korisnički zapis).

Potpis

BoxUp
interesantna logička igra
Monty Hall paradoks - interaktivni demo

Pa kako drugacije da se zna da li korisnik poseduje tekuci kljuc sesije. Valjda treba nege da se to upise.
A motivacija je sledeca:
1. Ulogujem se.
2. Izmenim neki post.
3. Pogledam kako izgleda na home stranici.
4. Nisam zadovoljan.
5. Vratim se stranicu za administraciju.
6. Ne moram ponovo da se logujem, jer nisam prekidao sesiju. (Imam kljuc)

(Jeeeee, poceo sam i od obicnog teksta da pravim kod. Strasno. :) )



Da ovo su sada detalji. U principu ono sto sam uradio funkcionise (nadam) se kako treba. Mozda nije lose, kao sto je neko pomenuo, da se napravi posebna tabela za sesije. Pogledacu u nekom gotovom CMS.

Aj, kad dodam "allowed_tags" u delu za administraciju ostavicu username i password za login pa da probate, pa ako neko nesto primeti da javi. Imam privremeni CMS podignut na free serveru. OK?

Potpis

http://oliver.glogonj.net | http://www.glogonj.net

:-)

session_id ti se već čuva u kukiju, ostali podaci sesije su na serveru u fajlu koji odgovara tom id-u. Tako da nema problema da odradiš ovaj scenario, dogod postoji i kuki i fajl. Kuki ti stoji dok je otvoren browser, fajl dvadesetak minuta od poslednje aktivnosti.

Potpis

BoxUp
interesantna logička igra
Monty Hall paradoks - interaktivni demo

Nisam primetio kukije. Nisam ih ni koristio.

Potpis

http://oliver.glogonj.net | http://www.glogonj.net

Jesi koristio (implicitno) ako su ti default setovanja konfiguracije za sesiju (session.use_cookies = 1).

Testiraj: print_r ($_COOKIE);

Potpis

BoxUp
interesantna logička igra
Monty Hall paradoks - interaktivni demo

ok, prica sa session_id radi sve dok se ne iskljuci browser...

kako bi to moglo da se uradi a da korisnik bude autentifikovan i ako je u medjuvremenu iskljucio browser, ili ako je bio neaktivan vise od 20 min?

pretpostavljam da bi moglo sa kukijem veceg trajanja, cija bi se vrednost upisala u bazu, pa se onda poredila vrednost iz baze sa onom iz kolaca svaki put kad se pristupi nekoj strani koja zahteva autentifikaciju? nesto slicno celoj ovoj prici gore?