Sicherheit von Benutzeraccount

[Thommy]

Hi Leute,

ml ne Frage wie ihr es immer macht. Und zwar habe ich einen Benutzeraccount. Beim Login, wird eine array $session mit Beuntzerdaten wie user_id, vorname, nachname in die Session aufgenommen. Im Account kann der Nutzer nun verschiedene Lebensläufe von sich anlegen. Wenn er diese nun später bearbeiten möchte kann diesen anklicken und gelengt zum eingabeformular des Lebenslaufes. der link sieht ungefähr so aus

eingabeformular.php?lebenslauf_id=120

Meine Frage ist nun wie man am besten verhindert dass andere user auf diesen lebenlauf zugreifen können indem sie in der url die lebenslauf_id verhindern. Ich habs bislang immer so gemacht, dass am anfang der datei ne datenbank-abfrage ist die überprüft ob die lebenslauf_id zum eingeloggten benutzer gehört. Was mich daran stört ist halt die Datenbank-Abfrabe die dabei jedesmal entsteht. Wie macht Ihr das denn so??


gruss


Thommy

[mkJack]

Ich mache eine Login-anhängige Kiste (geschützer Bereich) auf diese Art:

- Login
- Datenbankabfrage der Userdaten
- wenn Userdaten richtig, Session erzeugen und eine Variable in die Session reinschreiben die erkennen läßt, daß der User X erfolgreich angemeldet ist und diverse Daten lesen und bearbeiten darf.

d.h. auch wenn von aussen manuell eine ID übergeben würde (z.B. eingabeformular.php?lebenslauf_id=120) - wenn die gesetzte Prüfvariable nicht stimmt bzw. in der Session nicht vorhanden ist oder gar keine Session mit Werten existiert, dann geht es eben nicht.

[Thommy]

hi,

versteh leider nicht ganz was du meinst. Soll das heissen du würdest alle Lebensläufe die der user auf seinem Account hat beim login in die session schreiben

???

[mkJack]

Lese meine Beschreibung doch bitte mal genau.
Ich erwähne eine "Prüfvariable", nicht, daß ich den ganzen Kram in die Session schreibe, wie kommst du denn darauf?

- wenn Userdaten richtig, Session erzeugen und eine Variable in die Session reinschreiben die erkennen läßt, daß der User X erfolgreich angemeldet ist und diverse Daten lesen und bearbeiten darf.

[pekka]

Eine andere, m.E. vor allem bei grossen Projekten sicherere Methode ist, den Datensätzen 15-Stellige Zufalls-IDs zu geben wie z.B. "mKl9XCwqyz9iomÖ". Die ID des folgenden oder vorhergehenden Datensatzes herauszufinden, wird damit völlig unmöglich.

[Thommy]

verlängert sich bei so einer id die Zeit für die select - abfrage nicht enorm gegenüber einer normalen zahl? Ansonsten ist das natürlich ne gute idee

[pekka]

Wenn Du das globalid-Feld indizierst, erhöht sich die Abfragezeit nicht bedeutend.

[creative4web]

Hallo zusammen,

gibt es ne Möglichkeit mal ein Codeschnipsel zu diesem Problem zu sehen. Ich habe den Loginscript vom Tutorial auf dieser Page in Verwendund. Da möchte ich jetzt gerne diese o.g. "Sicherheit" einbauen.

Da ich immer Anfänger bin, fällt es mir leichter etwas anzupassen wie wenn ich es ganz alleine machen muß.

Danke schonmal

THANX
Holger