Odhlášení cizího uživatele

A proč nekontroluješ při requestu, jestli nemá user BAN? :-)

Idea: http://stackoverflow.com/…ssion-in-php

Disclaimer: Nezkousel jsem to.

Specifikujme dotaz trochu jinak. Dejme tomu, že máme nějaký ACL systém a administrátor může uživatelům libovolně měnit jejich práva (pro zjednodušení roli). V momentě, kdy je uživatel přihlášen, jeho údaje jsou uloženy v identitě a admin mu změní roli, do odhlášení mu zůstávají stará práva. Jak řešit tohle? Načítat při každém requestu znovu uživatelovy údaje a porovnávat, jestli se nezměnily s identitou, mi nepřijde jako příliš vhodné řešení.

Nějak tak jsem to myslel. S tímhle jsem ale nikdy nepracoval, takže nevím jak na to…

Po přihlášení uživatele tedy získám session id předpokládám takhle

$this->getSession()->getId();

Jak pak mám tu session smazat?

MartyIX napsal(a):

Idea: http://stackoverflow.com/…ssion-in-php

Disclaimer: Nezkousel jsem to.

Metodu uvedenou v „nejlepší odpovědi“ v žádném případě nepoužívat! Pointa SESSION ID je, že je unikátní a nepředvídatelné. Pokud bych generoval session ID MD5kou z uživatelského jména, tak jediné co mi stačí na přihlášení na jiného uživatele je znát jeho uživatelského jména. A jistě nechcete dávat super práva každému, kdo umí zavolat md5('admin').

Nepomůže ani solení nebo jiné techniky, pak se totiž jen situace převede na session hijacking, při kterém identifikátor session zůstává stejný, což znamená že ukradení účtu je trvalé.

Osobně bych doporučil jako session storage používat databázi, ukládat si do ní i název uživatele a v případě modifikace uživatele označit všechny jeho sessions k reloadu oprávnění, při smazání session smazat.

Panda napsal(a):

MartyIX napsal(a):

Idea: http://stackoverflow.com/…ssion-in-php

Disclaimer: Nezkousel jsem to.

Metodu uvedenou v „nejlepší odpovědi“ v žádném případě nepoužívat! Pointa SESSION ID je, že je unikátní a nepředvídatelné. Pokud bych generoval session ID MD5kou z uživatelského jména, tak jediné co mi stačí na přihlášení na jiného uživatele je znát jeho uživatelského jména. A jistě nechcete dávat super práva každému, kdo umí zavolat md5('admin').

Nepomůže ani solení nebo jiné techniky, pak se totiž jen situace převede na session hijacking, při kterém identifikátor session zůstává stejný, což znamená že ukradení účtu je trvalé.

Co uložit pokazde unikatni identifikator uzivatelovy session do DB po prihlaseni?

Andrasin napsal(a):

ano tak nakonec jsem to vyřešil tak, že po přihlášení uživatele se uloží jeho session id do databáze a například po udělení banu kontroluji, jestli session s id, které je v databáti existuje, pokud ano, smažu ji.

Sic trochu s křížkem po funuse, ale nebylo by lepší se prostě předpokládaný sessionID pokusit smazat a ověřovat zda se povedlo (eventuelně počet ovlivněných řádků) a až potom řešit neúspěch, než jí kontrolovat jestli je a v případě existence jí smazat…