Добрый день. Ситуация - есть личный кабинет пользователя, доступ в личный кабинет организован после авторизации через сессию. Подскажите необходимо ли проверять на каждой страничке личного кабинета данные из сессии с данными в БД по этому пользователю(например сравниваю по hash -логина и пароля) или достаточно проверить на существование некоторых переменных ключевых из сессии и не делать запросов ?
2 ответа
Обычно, сессия - это та штука, которая активируется для каждого уникального сеанса связи пользователя с сервером. Авторизация проходит один раз, и при удачной проверке логина/пароля, идентификатор пользователя записывается в переменную сессии взамен дефолтного гостевого. А дальше, при каждом переходе с одной страницы на другую, сервер читает этот самый идентификатор из сессионной переменной, и что-то в связи с этим делает. Например, проверят возможность доступ этого пользователя к тем или иным страницам.
В отдельных случаях, для безопасности, в сессию пишется клиентский IP последнего обращения к серверу. Чтобы при следующей проверке иметь возможность обнаружить его изменение и сбросить авторизацию. Например, на случай если правдами-неправдами кука сессии ушла на сторону.
Проверяй Сессию, она уникальна и читается только сервером
-
в смысле проверить существование сессии вообще ? об этом речь ? 28 дек 2011 в 13:27
-
при авторизации например записывай ид пользователя в базе в$_SESSION['id']. А потом везде проверяй наличие $_SESSION['id'] 28 дек 2011 в 13:28