Zitat:
|
Wieso darf session_regenerate_id() nicht mehr verwendet werden? Wenn man den Session Save Handler sauber schreibt, ist das kein Problem.
|
1. Was bekommt denn der Save-Handler vom Regenerate mit? Nix!
2. der Session-Handler soll in der DB rumpfuschen? Warum?
Wenn sich die SID ändert, ist der DB Eintrag hinfällig/falsch.
(ausnahme: punkt 2)
Zitat:
|
Wieso steigt das Risiko versehentlicher Sessionübernahmen? Die SID dient auch dem dateibasierten Default Session Handler als Kriterium ... um die richtige Datei zu öffnen.
|
Die SID bleibt so wie es der TE macht auf Ewig(bis zum nächsten Login) an den User gebunden. Je mehr SIDs in der DB stehen und umso länger sie dort sind, desto größer ist die Gefahr der zufälligen doppel Vergabe.
Die Session Müllabfuhr hat keine Chance das zu entfernen.
Zusätzlich:
1. Nicht jedes System läßt einen eigenen Handler installieren.
2. die Wenigsten Leute sind in der Lage einen korrekt funktionierenden Handler zu schreiben.
Wie es gedacht ist, und wie es auch gemacht werden sollte:
1. Die SID ist Teil der Sessionverwaltung und sollte auch nur von ihr verwendet werden. Nur so verfällt sie rückstandslos.
2. Man speichere die User_ID in $_SESSION. Daran, und nur daran ist der User wieder zu erkennen.
Meinen Vorschlag an den TE betrachte ich als "dirty Hack".
Sicherheit vs. Speed, das muß jeder für sich entscheiden. Aber glücklich JA sagen, kann ich dazu nicht.