Sessions bei abgeschalteten cookies

[alexf812]

hallo,

wie löst ihr das problem, wenn cookies abgeschaltet sind und sessions benutzt werden? hab grad gelesen die session-id per url zu übertragen, was aber nicht ganz so sicher ist und man müsste auch jeden link noch um einen parameter ergänzen.
muss man denn da bei jedem link prüfen ob cookies gesetzt werden dürfen? ich habe dieses problem gerade aber nun jeden link durchgehen und ändern...?
oder sollte man lieber gleich einen hinweis bringen das cookies eingeschaltet werden sollen?

[Boris]

http://www.php-faq.de/ch/ch-version4_session.html

[alexf812]

ja das habe ich mir ja schon durchgelesen, aber wollte eigentlich eher wissen ob man sich die mühe machen sollte, oder einfach voraussetzen das cookies angeschaltet sind?

ausserdem ist es ja nich so sicher per url die id zu übergeben. habe auch mal bei anderen seiten geschaut wenn man da cookies deaktiviert hat kann man sich auch nicht einloggen

[Boris]

Es ist schlichtweg deine Entscheidung, ob du Cookies voraussetzt bei deinem Skript, oder die Sessions im Bedarfsfall (auch wenn es unsicherer ist) via URL übertragen zu lassen.

[alexf812]

ok, hätte da mal noch ne frage.
wie ist es da eigentlich hier im forum gemacht? wenn ich cookies ausschalte steht die session_id im link und wenn ich cookies einschalte, dann ist die session-id nicht mehr da.

ich werd es jetzt aber bei mir so lassen und die id nicht per url weitergeben. ich denk mal cookies sind auch fast überall eingeschaltet

[Master_T2]

du speicherst die session_id() in einer Session und vergleichst bei jeder neuen Seite die session_id() mit der gespeicherten session_id vom Login?!

[alexf812]

aber wenn cookies abgeschaltet sind kann ich die session id zwar speichern aber nich auf den folgeseiten vergleichen, die daten sind ja dann verloren, oder hab ich dich grad falsch verstanden?

[giv]

@Master_T2: das musst du mir nochmal genauer erklären, das geht hundert pro nicht!

@alexf812: also wie's im forum gemacht ist, weiß ich nicht, aber da gibt's nicht so viele möglichkeiten.

es gibt eine einstellung namens session.use_trans_sid, wenn die auf 1 gesetzt ist (php.ini), dann fügt php automatisch an alle links die session id an und baut in alle formulare ein hidden field mit der session id ein, falls cookies ausgeschaltet sind. mit print_r(ini_get_all()) kannst du sehen, wie sie bei dir eingestellt ist. mit ini_set() kannst du auch für jedes script einzeln die einstellungen ändern, falls du nicht an die php.ini rankommst (und falls du das recht dazu hast).

eine andere möglichkeit ist das manuelle anfügen der session an alle links. dafür gibt es eine vordefinierte konstante SID, die schon den fertigen string "PHPSESSID=f0d61b3875bc43f9f7f8a71974ecd53b" enthält. damit kann man einfach <a href="http://www.adresse.org/seite?<?PHP=SID?>">link</a> die nötige ausgabe bewerkstelligen. wenn cookies angeschaltet sind, dann enthält SID den string "", es wird also nichts angehängt.

[alexf812]

hab mir das auch grad mit dieser konstanten durchgelesen.
da müsste ic hals jeden link noch ändern. aber auch wenn cookies angeschaltet sind, dann hab ich im link <a href=datei.php?&param=bla.
durch den leeren string bleibt immer noch das ?& in der url, das müsste ja auch noch raus obwohl es ja nich stört.

aber ich habe grad mal probiert, wenn cookies aus sind dann is ja das array $_COOKIE auch leer und somit kann man ja so prüfen, und dann entweder die id dranhängen oder nich

[Master_T2]

@giv:

Nach erfolgreichem Login machst du $_SESSION['login_session_id'] = session_id;
Nun fragst du zu beginn jeder neuen Seite ab: if ($_SESSION['login_session_id'] != session_id()) die();

Und das wars auch schon, und glaub mir es funzt...

[giv]

und was soll das bringen? die neue session hat auch eine id, die übertragen werden muss, wenn das per cookie geht, warum dann nicht gleich die erste id per cookie übergeben?!

[Master_T2]

Solange das Browserfenster geöffnet gibt es EINE SessionID. Nach erfolgreichem Login fragst du diese dann ab und speicherst sie in einer Sessionvariable. Sobald die session_id() nun ungleich der abgespeicherten SessionID in der Sessionvariable ist, ist es nicht mehr das selbe Browserfenster und die Seite wird nicht angezeigt!
Man braucht da keine ID übertragen oder so. Glaub du verstehst mich nich ganz...

[alexf812]

also ich versteh das ehrlich gesagt auch nicht so ganz. Ich hatte ja weiter oben geschrieben wie ich es abgeprüft habe.
mich würde nur mal interessierne ob es da noch ne bessere möglicheit gibt

[Master_T2]

Kann mir denn irgendeiner folgen oder hab ich das wirklich so beschissen erklärt??

[Strogij]

Also ich verstehe das schon.