0

Пытаюсь сделать авторизацию с помощью сессии

В $_SESSION['user'] запихиваю объект юзера, авторизация вроде как и прошла, но потом получается, что если открыть адрес с любого компа, то везде страница уже авторизирована, как такое может быть?

1 ответ 1

0

а проверку на совпадение куки делал? По идее ты должен сохранять уникальный код сессии в базу допустим поле hash при авторизации, потом просто сверять hash сессии с hash в базе данных если они совпадают, то показывать данные закрытых страниц. Сессия живет только до выключения компьютера (если я не ошибаюсь) или ей можно установить время жизни. При следующей авторизации ты просто обновляешь hash в базе на текущий.

2
  • Спасибо, в базе не хранил, но ошибка была в другом: по ошибке, я любому юзеру явно задавал одну и ту же session_id, но даже если хранить в базе уникальную и увести авторизационную куку, то подставить можно, люди советуют хранить хеш от сессии + ip
    – Sleepless
    7 фев 2014 в 22:12
  • во во во! ip у пользователей, как правило, динамический.
    – woland
    8 фев 2014 в 6:56

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.