About Session

[voicy]

About Session

לאחרונה קראתי מאמרים לגבי SESSIONS והשאלה שנשאלת לאחרונה בהרבה פורומים מה הדרך העדיפה או יותר נכון להגדיר אותה כבטוחה ביותר ליצירת SESSIONS האם על ידי שמירה בבסיס נתונים MYSQL או ב COOCKIES או בקבצים זמניים על השרת???? מצפה לתגובתכם

 

[יולו]

תשובות..

דבר ראשון שלא תטעה.. כותבים COOKIE ולא COOCKIE.. דבר שני לא נראה לי שכדאי לשמור את הסשן בבסיס נתונים.. אלה כקבצים זמניים על השרת או כעוגיות.. החלטה שלך.. זה תלוי בשביל מה אתה משתמש בסשן שלך..

 

[voicy]

למה אתה מתכוון שאתה אומר

למה אתה מתכוון בדיוק תלוי למה אתה משתמש...בוא נהיה יותר מדוייקים אני מתכוון בראש ובראשונה לאפליקציית וויב שבראש העדיפויות עניין האבטחה

 

[יולו]

אממ...

לי לא יצא להשתמש בסשן.. אני משתמש רק בעוגיות.. בינתיים לפחות.. אם אתה צריך שהוא ירד ישר כמישהו סוגר את הדפדפן תשתמש בקובץ זמני בשרת.. ואז אם אני לא טועה כשהגולש סוגר את הדפדפן זה מוחק את הסשן של אותו גולש.. דבר שני אם אתה משתמש בקובץ זמין על השרת זה עדיף כי אתה לא שומר את למשתמש במחשב קובץ(עוגיה) ושלישית אם לגולש מסויים יש איזה תוכנה או דפדפן שלא תומך עוגיות או לא שומר עוגיות אתה עדיין יכול לזכור אותו.. אם אתה רוצה בכל מקרה להשתמש בעוגיה אז אתה יכול לא לשים זמן תפוגה ואני כמעט בטוח שברגע שהגולש יסגור את הדפדפן זה ימחק את העוגיה שיש לו על המחשב.. ואם אתה לא רוצה שזה ימחק ישר אחריי שהגולש סוגר את הדפדפן אתה יכול לשים לעוגיה זמן תפוגה.. מקווה שעזרתי לך, יולו.

 

[voicy]

תודה על העזרה אבל...

תודה על העזרה אבל...השאלה שלי יותר ממוקדת לנקודה יותר רגישה ושבה נתקלנו מתוך נסיון האם עדיף באמת להשתמש בבסיס נתונים לשמירת נתונים על הסשנים או שעדיף להשתמש בקבצים ולמה בדיוק פסלת את נושא הבסיס נתונים מלכתחילה... ב---באפליקציה שאנחנו רוצים לבנות העדיפות היא היא לכל נושא האבטחה וכמובן לנושא של גניבת סשנים שמתאפשרת ברגע של פירצה לתיקקיה בה מאוחסנים הקבצים של הסשנים. זה לא אומר שאי אפשר לפרוץ לשרת בסיס נתונים!!! אני יודע שאנחנו בפורום שעוסק בנושא של תכנות ולא סקיוריטי אבל השאלה אם משהו נתקל בעבר בסוגייה זו?

 

[יולו]

מצטער..

לא יכול ממש לעזור לך.. אבל בכל מקרה.. אני לא מציע בסיס נתונים כי זה סתם מסובך לעבוד על זה מאשר עוגיות או קבצים זמניים.. בין עוגיות לקבצים זמנים אני ממליץ על קבצים זמנים על השרת כי זה לא נשמר על מחשב הגולש.. וככה זה נראה לי פחות פרוץ.. לא ממש בדקתי את העיניין..

 

[nezek2003]

אולי זה יעזור לך

אם אתה רוצה לשים דברים ב DB זה נחמד אחת החסרונות הם שזה לא נמחק כשסוגרים את הדפדפן ואין ממש דרך לעשותאת אלה מלעקוב אחרי ה IP שמחוברים אליך לפי זה למחוק אייפי שלא היתה בו פעילות הרבה זמן חוצמזה שזה מעמיס על ה DB שכל העניין של הסשן הוא לא להעמיס על ה DB ודברים שאתה צריך זמינים יהיו בזכרון. יש דרך לעבור ללא עוגיות וללא קאש בסשן ואז הסשן יושב בשרת בספריית TMP שזו ספריה שהיא לו נגישה בכלל דרך האפאצי . אם כבר מישהו יפרוץ לך למחשב אני בספק אם הוא ילך על הסשנים כי זמנם פג לפי ההגדרה שלך ב PHP.INI כבר עדיף ללכת על ה DB אבל בכל מקרה אתה כבר בצרות אם אתה בשלב הזה אם אתה רוצה עוד יותר לאבטח אתה יכול להצפין את החומר שאתה שם בסשן וכל פעם לפתוח אותו מחדש. תגיד לי מה אתה חושב על העניין