2

Я использую стандартный демо-пример аутентификации пользователя (где нужно ввести в форму ввода логин и пароль admin) в фреймворке Yii-2.
Я устанавливаю время жизни кукам равное 60 секундам:

public function login()
    {
        if ($this->validate()) {
            return Yii::$app->user->login($this->getUser(), $this->rememberMe ? 60 : 0);
        }
        return false;
    }

Когда проходит 60 секунд, я делаю рестарт браузера для закрытии сессии, и после этих манипуляций, зайдя снова на сайт, я почему-то прохожу аутентификацию.

Хотя время жизни куков 60 секунд и после рестарта браузера сессия должна закрываться, этого не происходит. Надо отметить, что куки удаляются. Может, не все, а только те, в которые мы передаем информацию. На мой взгляд, очень странно, что я прохожу аутентификацию.

Это поведение наблюдается в браузере Google Chrome, в FF такого нету.

То есть, понятно, что это связанно с особенностью самого браузера Google Chrome.


Далее:

Те куки которые содержат данные (authKey, accessToken ... и.т.д) которые мы передаём в них, будут удаляться по истечении указанного времени.

Yii::$app->user->login($this->getUser(),60);

Но, несмотря на это, стандартный метод Yii-2 проверки аутентификации, покажет что мы залогинены, хотя те куки которые содержали в себе ту информацию которую мы передавали в них, уже будут удалены.

Yii::$app->user->isGuest

Конечно, можно в конфигурационном файле приложения добавить подобные свойства:

'authTimeout' => 10

но в таком случае, для всех пользователей будет установлено единое время аутентификации, и чекбокс (запомнить логин и пароль) потеряет свою актуальность для тех посетителей, которые не захотят сохранять аутентификацию.

Вопрос : Почему я прохожу аутентификацию, что разработчики там такое используют, что даже после удаления тех кук, которые содержат в себе информацию о пользователе, я всё равно могу проходить аутентификацию? На основе каких данных проходит аутентификаця? Как сделать, чтобы всё работало правильно?

17
  • 1
    Т.к. есть еще сессия.... во фреймворке у Yii::$app->user в методе yii\web\User::renewAuthStatus() сначала ищется ID пользователя в сессии. А если в сессии не найдено, то кука. Так что если время жизни сессии 1 час, а вы ставили время кук 1 минуту, то логично что останитесь залогиненым.....нужно манипулировать еще либо временем сессии session => timeout либо временем авторизации юзера user => authTimeout 9 мар 2016 в 10:33
  • @Алексей Шиманский Прошло около 8 часов. В течении этого времени,компьютер перезагружался, браузер закрывался. При запуске сайта, все равно происходит аутентификация. Она же не должна быть. Кстати, сессии обычно закрываются при закрытии самого браузера. А что такое время авторизации юзера, куки? 9 мар 2016 в 13:42
  • 1
    Сессия не закрывается с закрытием браузера... Кто из неквалифицированных специалистов вам это сообщил? Она живет на серверной стороне и ей пофиг до браузера абсолютно.....почти....Она может жить даже спустя несколько месяцев, в зависимости от настроек сервака....лично у моего сервака по дефолту в пхп ини время сессии стояло 180000000. Не исключено и у вас аналогичное...Как думаете это 8 часов?)) 9 мар 2016 в 13:55
  • @Алексей Шиманский в конфиге PHP :session.gc_maxlifetime = 1440 -время жизни сессии по умолчанию. Что мы делаем: устанавливаем login($this->getUser(), 60) на 60 и или 1500 секунд, время жизни кукам. Переводим часы на 3 дня вперед, перезагружаем все, запускаем, переходим на стандартный пример сайта где ранее мы уже прошли аутентификацию, но Yii::$app->user->isGuest, так-же показывает, что мы аутентифицировались,когда он должен был показать обратное. 9 мар 2016 в 16:11
  • 1
    А причем тут гость? Ахахах. Опять игра в экстрасенсов. Понятно. Я даже уже примерно представляю о чем на самом деле вы спрашиваете, но опять не так сформулировали вопрос)) ... по поводу гостя - разумеется, если вы не вошли в систему под каким-либо лог пасом, а просто гуляете по сайту вы всегда будете гостем и система всегда будет об этом знать и говорить об этом... т.к. у нее есть проверка getIsGuest где она проверяет идентификацию пользователя getIdentity().... и если она есть - то идут проверки личности, а если getIdentity() === null; то вы - гость. Это и логично. 9 мар 2016 в 16:55

1 ответ 1

6
+300

Известно, что при определённых настройках Google Chrome не удаляет сессионные куки, которые в других браузерах удаляются при закрытии.


Если вам нужно чтобы сессия форсированно очищалась через 60 секунд, то можно сделать так. В файле index.php между require_once и Yii::createWebApplication добавьте следующий код:

<?php
require_once($yii);

/* Начало */

// если у нас есть сессионная кука...
if (!empty($_COOKIE[session_name()])) {
    // сначала явно начнем сессию
    session_status() == PHP_SESSION_NONE && session_start();
    // если сессия свежая (то есть нет нашей пометки о последнем использовании)
    if (empty($_SESSION['LAST_USE'])) {
        // запишем когда сессия начата
        $_SESSION['LAST_USE'] = $_SERVER['REQUEST_TIME'];
    } else {
        // иначе считаем что сессия старая, значит нужно проверить 
        // что сессия не истекла =>
        // если последнее обращение было позже чем 60 секунд назад...
        if ($_SESSION['LAST_USE'] < $_SERVER['REQUEST_TIME'] - 60) {
            // обнулим сессию
            session_destroy();
            $_SESSION = [];
            // и начнем её заново, раз она уже была
            session_start();
        } else {
            // последнее обращение было только что, 
            // сбросим время последнего использования
            $_SESSION['LAST_USE'] = $_SERVER['REQUEST_TIME'];
        }

    }
}

/* Конец */

Yii::createWebApplication($config)->run();
13
  • Спасибо. Вы на 50% вопроса ответили. Вот еще 50% - как сделать чтобы всё работало правильно? 14 мар 2016 в 4:45
  • Если Вы не знаете, пожалуйста, сообщите мне об этом. 14 мар 2016 в 4:47
  • @ЮрийСветлов откуда вы знаете что куки ставятся, и что кук нет? В вашем вопрос не показано что вы убедились что работа с куками производится так, как вы думаете
    – sanmai
    14 мар 2016 в 5:47
  • Юрий, откуда вы знаете что кука ставиться со сроком жизни в 60 секунд?
    – sanmai
    15 мар 2016 в 6:56
  • 1
    Можно сохранять внутри $_SESSION время последнего обращения к сессии. Перед очередным сохранением проверять когда то было. Если последнее обращение к сессии было больше чем X секунд назад - сессию очищать.
    – sanmai
    17 мар 2016 в 2:38

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.