0

На сайте двухэтапная система авторизации. После прохождения первого этапа логин и пароль записываются в сессию в открытом виде. 6е чувство мне подсказывает, что это очень плохо. Но не могу понять почему. Также в сессию записывается timestamp. И если он больше 180 секунд - сессия чистится и редиректит на первый этап. Время жизни сессии 0. Плох ли данный способ? Если да то почему и как можно это исправить? Спасибо!

10
  • Если HTTPS нету, то пароль узнают все, через кого идёт интернет, а если ещё и вайфай открытый, то пароль узнают вообще все в радиусе сотни метров от пользователя
    – andreymal
    3 дек 2017 в 13:05
  • Где можно про это почитать? Или хотя бы что загуглить?
    – Dohn Doe
    3 дек 2017 в 13:09
  • man in the middle
    – andreymal
    3 дек 2017 в 13:10
  • а зачем пароль храниться в сессии. для чего он в последствии используется
    – Mike
    3 дек 2017 в 13:14
  • 1
    Тем не менее, зачем вообще хранить пароль в открытом виде? Когда сервер вдруг взломают и прочитают все базы и все сессии, от хранения открытых паролей станет очень грустно.
    – andreymal
    4 дек 2017 в 7:44

3 ответа 3

1

Пароль нельзя хранить в открытом виде даже в вашей БД. Используйте токен для авторизации и поддерживания сессии пользователя.

0

Вот видео с примером использования токенов на PHP https://www.youtube.com/watch?v=nNU1CYryF_8

0

Не обязательно хранить именно пароль. Проверяйте полученный с POSTa пароль и сверяйте с записью в БД, если "==" - тогда просто записывайте какую-то строку а-ля $_SESSION['login'] = 1; А по истечению времени - ансетите переменную.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.