0

Пытаюсь сделать авторизацию с помощью сессии

В $_SESSION['user'] запихиваю объект юзера, авторизация вроде как и прошла, но потом получается, что если открыть адрес с любого компа, то везде страница уже авторизирована, как такое может быть?

1 ответ 1

0

а проверку на совпадение куки делал? По идее ты должен сохранять уникальный код сессии в базу допустим поле hash при авторизации, потом просто сверять hash сессии с hash в базе данных если они совпадают, то показывать данные закрытых страниц. Сессия живет только до выключения компьютера (если я не ошибаюсь) или ей можно установить время жизни. При следующей авторизации ты просто обновляешь hash в базе на текущий.

2
  • Спасибо, в базе не хранил, но ошибка была в другом: по ошибке, я любому юзеру явно задавал одну и ту же session_id, но даже если хранить в базе уникальную и увести авторизационную куку, то подставить можно, люди советуют хранить хеш от сессии + ip
    – Sleepless
    7 фев 2014 в 22:12
  • во во во! ip у пользователей, как правило, динамический.
    – woland
    8 фев 2014 в 6:56

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.