Вопрос в следующем, допустим я делаю авторизацию пользователя на сайте и в случае успешной авторизации устанавливаю куки (setcookie('auth','yes',time()+3600);). данная кука например открывает доступ к закрытой части сайта. Так вот, можно ли с машины пользователя самому создать куки и обойти это ограничение?
1 ответ
Можно создать самому, можно перенести с другой машины, можно прицепить к HTTP трафику.
Самый простой способ зафиксировать авторизацию пользователя использовать сессии. Тогда у пользователя хранится только идентификатор сессии, а на сервере хранится статус авторизации.
Если сессии чем-то не устраивают, то можно реализовать аналогичный механизм
- Генерируем некоторое случайное число
- Записываем его в базу для этого пользователя. Там же в базу записываем время логина
- Отсылаем пользователю две куки с идентификатором (как вариант - логином) пользователя и сгенерированное число.
При подключении пользователя проверяем
- Есть ли нужные куки
- Совпадают ли числа присланные пользователем и записанное в базе
- Не истекло ли время логина.
Если все ОК - то пользователя пускаем, время логина и куки обновляем. MD5 хеши добавить по вкусу
setcookie('auth','dbd4d5171a44361bc4d122f256e7c555',time()+3600);
, но я хочу скорее сказать что cookie хранятся в браузере пользователя и это нужно учитывать, что пользователь может изменить cookie или создать новую и доверять cookie нельзя, в общем как всему что отправляет пользователь!!!