0

Добрый день пишу простой сайт. Пытаюсь избавиться от того что под одним логином и паролем могли сидеть 2 человека одновременно. Прочитал что можно избавиться если создать ключ, записать в бд и каждый раз сравнивать. (как бы проблем нет) Где-то написано что при каждом действие лучше менять, тоже нет проблем. Но вот вопрос если я зашел под учетную запись и не делаю никаких действий. У меня подсмотрели к примеру сессию и подставили в у себя. Как бы все снова два пользователя.

Какой способ защиты можно придумать от такой ситуации?

У меня в голове только следующий велосипед: При посещение страницы если неавторизован к примеру создаю рандомное сочетание и пишу в бд. Далее при авторизации вытаскиваю данный ключ и создаю еще один, обЪединяю их и в хеш. Его пишу в БД и в сессию. и дальше проверяю при каждом действие. Если кто то подсмотрел все такие сессию и заходит на сайт и вставляет себе то он не авторизовывается также форма авторизации.

2
  • Вы наверное не правильно понимаете значение слова перехват сессии - если её перехватили, то никакого логина и пароля вводить не нужно. Вариант только 1 - привязывать сессию к IP адресу, что будет болью для тех у кого нет постоянного внешнего IP адреса. Commented 6 февр. 2020 в 4:49
  • 3
    А что плохого в нескольких логинах? Например я на этом сайте залогинен в трёх разных браузерах и буду очень недоволен если меня будут заставлять перелогиниваться
    – Alexey Ten
    Commented 6 февр. 2020 в 4:55

1 ответ 1

0

Лучше использовать SSL Сертификат. Даже бесплатный SSL FOR FREE

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.