session management

[enigma]

hallo,
weiss jemand wie man session management ohne cookies bei login bzw. Registrierung verwendet? Und wie sieht es im PHP-Skript
danke

[TobiaZ]

ja

[sirk]

Laut Webhits werden von knapp 98% aller Internetnutzer Cookies akzeptiert. Wozu der Aufwand?

[jahlives]

Sirk schrieb:
Wozu der Aufwand?

Weil ohne Cookies der Login auch bei den verbleibenden 2 Prozent funzen wird.
Wenn du auf Cookies verzichtest musst du sicherstellen, dass die Session ID bei jedem Link angefügt wird. So wird die Session auf der Zielseite erkannt.

Gruss

tobi

[marc75]

Original geschrieben von sirk
Laut Webhits werden von knapp 98% aller Internetnutzer Cookies akzeptiert. Wozu der Aufwand?

dann scheinen sich sehr viele von den 2% auf meinen alten Webshop vor ca. 1 1/2 Jahren rumgetummelt zu haben. Und davon hat mir nicht jeder eine Email wegen Funktionsstörungen geschrieben.

[sirk]

Weil ohne Cookies der Login auch bei den verbleibenden 2 Prozent funzen wird.

Von dem Standpunkt aus gesehen, müsste man dann auch die Website für Safari und all die anderen Browser ausser FF und IE optimieren. Fragt sich nur ab wann sich der Aufwand noch lohnt. Wenn man viel Zeit hat ist das natürlich kein Thema.

Wenn du auf Cookies verzichtest musst du sicherstellen, dass die Session ID bei jedem Link angefügt wird.

Das bringt aber auch das Risiko mit sich dass Sessions entführt werden. Also wenns auf Sicherheit ankommt nicht die beste Lösung in meinen Augen.

[xManUx]

Original geschrieben von sirk
Von dem Standpunkt aus gesehen, müsste man dann auch die Website für Safari und all die anderen Browser ausser FF und IE optimieren. Fragt sich nur ab wann sich der Aufwand noch lohnt. Wenn man viel Zeit hat ist das natürlich kein Thema.

Hä? Es ist früh am Morgen, bitte sag mir nicht, dass ich einen Alptraum habe, wo dort SESSION's nicht serverseitig sind... !

Das bringt aber auch das Risiko mit sich dass Sessions entführt werden. Also wenns auf Sicherheit ankommt nicht die beste Lösung in meinen Augen.

Nicht umbedingt. Immer noch sicherer, als Cookies. Achja, es geht auch so, dass man sie nicht mal an URL's hängen muss. Somit bliebe die SESSION_ID unbekannt.

[sirk]

wo dort SESSION's nicht serverseitig sind... !

???

Um zu verdeutlichen was ich meinte: Wenn man darauf Wert legt, die Website für 100% aller User verfügbar zu machen, dann muss man auch darauf achten dass die Website unter allen Browsern funktioniert.

Immer noch sicherer, als Cookies. Achja, es geht auch so, dass man sie nicht mal an URL's hängen muss. Somit bliebe die SESSION_ID unbekannt.

Das ist mir neu. Und wie funktioniert das? Ich lass mich gerne eines besseren belehren.

[xManUx]

gegenfrage: wie machst du es sonst?

was ich meine:

was spricht denn dagegen, die SessionID in die usertabelle zu speichern, und mit session_id() oder $_SESSION[] abzufragen, wer dieser user ist?

[mrhappiness]

Original geschrieben von xManUx
was spricht denn dagegen, die SessionID in die usertabelle zu speichern, und mit session_id() oder $_SESSION[] abzufragen, wer dieser user ist?

Und das beantwortet die Frage, wie der Browser die Session-ID mitschickt, wenn er es nicht per URL oder Cookie macht?

[xManUx]

kommt drauf an, welche cookies

[sirk]

was spricht denn dagegen, die SessionID in die usertabelle zu speichern, und mit session_id() oder $_SESSION[] abzufragen, wer dieser user ist?

Dann müsste man den Usernamen per URL anhängen = SessionID

Man könnte bei jeder User-Aktion einen Uniq-Hash erzeugen, in der Session speichern und per Url anhängen. Bei der nächsten User-Aktion würde der Hash verglichen und die Session wiederhergestellt.

Nur was wäre mit Usern die per Modem im Netz sind und gelegentlich Timeouts oder Verbindungabbrüche haben? Die müssten sich jedesmal neu einloggen => Benutzerunfreundlich. Und ich denke Modem-User gibt es nicht wenige.