3

Понимаю, что по теме авторизации на просторах интернета море информации, но всё таки решусь задать один вопрос. Без каких ключевых моментов нельзя обойтись, делая регистрацию на своём сайте? Авторизация через сессии. Задавая этот вопрос, рассчитываю на ответ примерно вот в таком виде:

  1. Пароль в базе данных хранить в зашифрованном виде.
  2. При авторизации сохранять время логина, IP и т. д.
  3. Проверка залогинен/нет должна проводиться не только как isset($_SESSION['username']), а.. А кстати, как это делать?

P.S. Нет, меня не забанили в поисковых системах, но я хочу услышать на словах, что нужно делать, а не разбираться в тоннах чужого кода, гадая, зачем же он нужен..
Спасибо.^^

UPD: тем не менее кто может вкратце дать ответ на вопрос, как же начинающему, но, я надеюсь, перспективному проекту реализовать авторизацию на сайте?

UPD: вопрос закрыт, в связи с отсутствием новых записей. Надеюсь кто-нибудь подчеркнет из всех этих дискуссий нечто полезное для себя)

11
  • И много будет посетителей? А сервер какой? Планируете ставить дополнительные сервера? Это я к тому, что "Авторизация через сессии.". При нескольких серверах уже не прокатит, а значит нужен другой способ - тот, что будет в п.3. И сразу проблемы (или решение?) по п.2. Как вы собираетесь обмениваться информацией между серверами? Это, конечно, если народу куча будет. Или сайт только для учебы? Все равно - потом надо будет делать как надо, а как надо - не знаете, зря учились в итоге. Может стоит сразу уделить этому внимание?
    – BOPOH
    28 фев 2013 в 12:13
  • 1
    Я вот сейчас не совсем понял.. Допустим человек зашёл, в базу данных записалось то, что логин был. А как дальше разрешить только этому человеку совершать действия. Ключ ему какой-то выдать? А где его хранить? В кукис?
    – sinedsem
    28 фев 2013 в 12:39
  • 1
    В куках хранится идентификатор сессии. По которому сервер узнаёт что это за пользователь такой. Мехмнизм сессий на php имеет файловый характер. А механизм сессий через бд, - можно настроить хранением в памяти сервера, что несравненно быстрее и лучше.
    – istem
    28 фев 2013 в 21:24
  • 1
    Сразу видно плюсовали новички)) 2 мар 2013 в 6:16
  • 2
    @Ёхарный Бабай, а чем вопрос не понравился? Насколько понимаю, плюс вопросу ставим, если он заслуживает внимания. IMHO сформулирован вопрос нормально и при наличии грамотных, развернутых ответов может получиться тема, полезная для многих новичков (а может и не только). Разве наработка такой "базы знаний" не цель данного форума? Вот я и плюсанул этот вопрос, желая привлечь к нему внимание (правда, пока в результате только комментарии).
    – avp
    2 мар 2013 в 9:23

2 ответа 2

2

Давайте я пока попробую обобщить, что у нас получилось, а дальше как получится, может кто-то представит нам другой вариант..
Итак, поехали, некоторые общие выводы:

  1. Авторизация с помощью сессий не годится, так как она не будет работать, если сайт физически находится на нескольких серверах (сам не знаю, но так сказал @BOPOH). Соответственно если мы рассчитываем, что наш сайт будут любить тысячи людей, надо сразу выбирать другой способ.
  2. Исходя из первого, начинаем искать другую реализацию. Так вариантов много, были предложены варианты с БД и memcache.(опять же ВОРОН'ом). Я для себя решил, что сейчас буду делать через базу данных, просто потому, что для меня на данный момент это проще(я же только начинаю постигать азы вебдева).
  3. Как же сделать авторизацию через бд? Очевидно, алгоритм, упрощённый до минимума таков: Пользователь вводит логин и пароль, пароль сравнивается с паролем на сервере, если они одинаковы, в специальную таблицу заносятся данные о текущем логине. Пока точно не знаю, какие именно данные понадобятся, но я так думаю что это будут: IP-адрес пользователя, время логина, уникальный ключ данной сессии(отныне употреблять это слово я буду в значении "процесс пребывания пользователя на сайте в залогиненном состоянии", $_SESSION тут уже не при чём). Этот же ключ будет заноситься в cookies. Далее при загрузке каждой страницы браузер будет обращаться к серверу по этому ключу, и оттуда возвращать данные о логине.
  4. Теперь о безопасности. Естественно, в базе данных не может храниться сам пароль, а должен храниться только его хеш, то есть зашифрованная неким алгоритмом(лучше без возможности дешифровки) строка. Самый распространённый пример - функция md5(). Только желательно использовать её в таком виде: md5($pass.$salt), так как существует куча сайтов-дешифровщиков обычных md5-строк. Далее со слов @avp: ключ должен перевычисляться независимо сервером и клиентом при каждом обмене. И сервер сравнивает присланный клиентом ключ с ожидаемым. Также для важной информации хэш пароля пересылать по сети нельзя. И еще, желательно как-то проверять, что сервер с которого Вы получили картинку на экран - это не подстава. Решение о необходимости использования этих советов, а также способы реализации оставлю за вами, уважаемые rодеры. Для себя выберу первые два пункта(мой и первый пункт @avp).

Дополняйте меня)

8
  • 1. Я в свою очередь апеллирую к своим более опытным товарищам, особенно к нашему архитектору. Не знаю почему им не нравится механизм сессий (даже через БД, хотя они и знают о нем), но видно существуют какие-то трудности. Я со своей стороны не знаю как поведут себя сессии через БД, если БД откажет. Может быть именно это и останавливает моих более опытных товарищей. 2. Memcache не гарантирует сохранение данных, поэтому его стоит рассматривать только в крайнем случае. 3. Зачем куки? Их же могут отключить. Если страницы генерятся сервером, то можно добавлять в каждую ссылку тот самый AUTH.
    – BOPOH
    2 мар 2013 в 18:36
  • по поводу второго: мне кажется это не правильно, так как при сбоях в адресной строке вся авторизация слетит к чертям..
    – sinedsem
    2 мар 2013 в 18:40
  • Парсер побил мою нумерацию... 3. (продолжение) Если страницы - почти монолитное приложение, а сервер - дополнительная функциональность, то можно AUTH передавать через параметры POST`ом, а не через ссылки - у нас так и сделано. 4. если украдут куки - доступ все равно возможен, пусть даже и в небольшой промежуток времени, с этим ничего не сделаешь... То же самое верно и для остального - если данные перехватили, то может возникнуть прослойка "вы" - "чужой" - "ваш сервер". Так же можно хакнуть RSA. Поэтому для важных действий необходима повторная аутентификация
    – BOPOH
    2 мар 2013 в 18:49
  • > куки могут отключить а могут вообще на сайт не зайти... > Я со своей стороны не знаю как поведут себя сессии через БД, если БД откажет. в большинстве случаев отказ БД приводит к отказу функционала сайта, так-что это несушественно Сессии нормально, можно сделать falback сервер авторизации, который точно получает токены с других серверов (приоритетно), делать репликации токенов. держать для этого nosql базу. @Ворон ваши опытные товарищи знакомы с системами авторизации google и facebook ? там токен авторизации (и не один) между прочим, что есть по сути сессия.
    – zb'
    2 мар 2013 в 18:54
  • то что сервер не подстава - ssl можете в принципе и авторизацию через ssl делать, но если тысячи пользователей, то не советую.
    – zb'
    2 мар 2013 в 18:56
2

(я же только начинаю постигать азы вебдева)

Если вы начинающий WEB-разработчик, советую не заморачиваться с всеми возможными session handler'ами..

Используйте стандартную работу сессий (через куки). В случае, если куки будут отключены, то PHP сам изменить поведение сэссия (через GET параметр).

Непосредственно по поводу вашего вопроса: 1. С точки зрения безопасности, лучше пароль хранить зашифрованным. Но при таком подходе, если пользователь забудет пароль, вы не сможете ему напомнить его старый пароль. вам прийдется генерировать новый. 2. При авторизации сохраняйте любую нужную вам информацию.. Это может быть не только время и ip, а также и referer (т.е. с какого сайта пользователь пришел к вам на сайт) Тут никаких ограничений, лишь ваш полет фантазий )) 3. Для большинства случаев, вполне хватает проверки

if(isset($_SESSION['is_auth']) and  $_SESSION['is_auth'])...

Со временем, когда вы "подрастете" в плане программирования, можно будет заглянуть как сделана аутентификация у "больших".. К примеру Security Component в Symfony

2
  • Такая проверка у меня сейчас, но мне она кажется не совсем надёжной.. я прав?
    – sinedsem
    3 мар 2013 в 7:40
  • вполне надежна для большинства случаев.. ;)
    – draev
    6 мар 2013 в 13:55

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.