0

Вопрос в следующем, допустим я делаю авторизацию пользователя на сайте и в случае успешной авторизации устанавливаю куки (setcookie('auth','yes',time()+3600);). данная кука например открывает доступ к закрытой части сайта. Так вот, можно ли с машины пользователя самому создать куки и обойти это ограничение?

7
  • 1
    Такую простую куку можно создать самому без каких-либо ухищрений.
    – Visman
    28 дек 2016 в 16:01
  • В основном используют произвольную сточку которая привязывается к сессии пользователя, и записываем в cookie, как-то так setcookie('auth','dbd4d5171a44361bc4d122f256e7c555',time()+3600);, но я хочу скорее сказать что cookie хранятся в браузере пользователя и это нужно учитывать, что пользователь может изменить cookie или создать новую и доверять cookie нельзя, в общем как всему что отправляет пользователь!!!
    – devnull
    28 дек 2016 в 16:23
  • Вообще я бы посоветовал начать изучения с Web Framework'a допустим laravel.com, почитать документацию и изучить его, просто он за вас будет заботится о авторизованных пользователях и какие станицы ему не стоит показывать
    – devnull
    28 дек 2016 в 16:28
  • 1
    @users, круто :) Чтобы поставить безопасно куку, нужно изучить/воспользоваться laravel!
    – Visman
    28 дек 2016 в 16:32
  • Да, можно. Лучше использовать сессию
    – woyadagiw
    28 дек 2016 в 16:43

1 ответ 1

1

Можно создать самому, можно перенести с другой машины, можно прицепить к HTTP трафику.

Самый простой способ зафиксировать авторизацию пользователя использовать сессии. Тогда у пользователя хранится только идентификатор сессии, а на сервере хранится статус авторизации.

Если сессии чем-то не устраивают, то можно реализовать аналогичный механизм

  1. Генерируем некоторое случайное число
  2. Записываем его в базу для этого пользователя. Там же в базу записываем время логина
  3. Отсылаем пользователю две куки с идентификатором (как вариант - логином) пользователя и сгенерированное число.

При подключении пользователя проверяем

  1. Есть ли нужные куки
  2. Совпадают ли числа присланные пользователем и записанное в базе
  3. Не истекло ли время логина.

Если все ОК - то пользователя пускаем, время логина и куки обновляем. MD5 хеши добавить по вкусу

4
  • Не подскажите где покопаться по поводу ограничений для просмотра части сайта? куда рыть? чем заменить эту куку? 28 дек 2016 в 16:03
  • @Дмитрий Написал примерный алгоритм 28 дек 2016 в 16:29
  • ИМХО, но лучше использовать строку, а не число, id сессии для её сброса и информацию о браузере пользователя.
    – devnull
    28 дек 2016 в 16:34
  • ок, спасибо, попробуем реализовать. 28 дек 2016 в 16:40

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.