PHP-Session ohne Cookies

Gibt es eine Möglichkeit, eine dauerhafte Sitzung in PHP zu initiieren, ohne ein Sitzungscookie zu platzieren? Gibt es andere Möglichkeiten, eine Sitzung seitenübergreifend aufrechtzuerhalten, z. B. eine auf IP-Adressen basierende Lösung?

Mein Grund für die Frage ist, dass, obwohl die meisten Benutzer Cookies aktiviert haben, ich sehen möchte, ob es eine Möglichkeit gibt, wie ein Anmeldesystem für diejenigen funktioniert, bei denen es deaktiviert ist (obwohl ich persönlich denke, dass das Deaktivieren von Cookies nur unnötige Paranoia ist).

Ich denke nicht, dass es zu viel ist, Ihre Benutzer zu bitten, Cookies zuzulassen. Ich finde es albern, wenn Leute sie komplett ausschalten.

Andernfalls können Sie Ihre einstellen session.use_only_cookies auf “0”, um das Anhängen einer Session-ID an URLs in Ihrer PHP-Datei zu erzwingen. Dieser Ansatz hat jedoch mehrere Nachteile. Hauptsächlich, den Status innerhalb der URL zu halten, im Gegensatz zum Cookie-Header. Wenn ein Benutzer die URL der Seite, auf der er sich gerade befindet, kopieren und einfügen würde und jemand anderes darauf klicken würde, würden beide dieselbe Sitzung verwenden.

<?php
     ini_set("session.use_cookies", 0);
     ini_set("session.use_only_cookies", 0);
     ini_set("session.use_trans_sid", 1);
     ini_set("session.cache_limiter", "");
     session_start();

Sie können den ini-Wert von festlegen session.use_trans_sid auf true, um das Anhängen der Session-ID an jede URL zu aktivieren. Schau mal rein Das.

Aus Sicherheitsgründen sollten Sie die Sitzung dann auf die IP beschränken, die die Sitzung erstellt hat. Dies ist jedoch nicht vollkommen sicher, da jemand mit derselben IP (z. B. hinter einem Proxy) dieselbe Sitzung wiederverwenden könnte.

Sie können mit Sitzungs-IDs in URLs arbeiten und Cookies deaktivieren mit:

ini_set('session.use_cookies', 0);
ini_set('session.use_only_cookies', 0);
ini_set('session.use_trans_sid', 1);
session_start();
// IP check
if($_SESSION['ip_check'] != $_SERVER['REMOTE_ADDR']){
   session_regenerate_id();
   session_destroy();
   session_start();
}
$_SESSION['ip_check'] = $_SERVER['REMOTE_ADDR'];
// session stuff

Hinweis: Es wird dringend davon abgeraten, Sitzungs-IDs in URLs zu verwenden. IP-Adressen können sich ändern, wenn Sie mit einer WLAN-Karte unterwegs sind, und Proxy-Server haben dieselbe IP-Adresse. Es ist leicht kaputt, wenn man auf „eine alte URL“ (mit der alten Sitzungs-ID) klickt.

Sie könnten auch daran interessiert sein, Ihre eigene Session-Handling-Funktion (in Verbindung mit einer Datenbank) zu erstellen. Sie würden die Sitzungs-ID ignorieren und an die IP-Adresse binden. (siehe Beispiele in http://php.net/manual/en/function.session-set-save-handler.php)

Verweise:

• http://php.net/manual/en/session.configuration.php

Sie könnten einen Datenbankeintrag oder eine temporäre Datei erstellen und überprüfen $_SERVER vars gegen die Anfrage bei jedem Laden der Seite. Es ist ein Sicherheitsrisiko, aber mit genügend Variablen (siehe Liste Hier) haben Sie vielleicht das Gefühl, dass Sie die Chance auf eine Entführung auf ein akzeptables Maß gesenkt haben; nur Sie wissen, wie sicher Ihre App sein muss.

Sie können die Sitzungs-ID pro IP in der Datenbank speichern:

Erstellen Sie eine MySQL-Tabelle mit drei Feldern: session_id, ip und eindeutiger temporärer Schlüssel (für angemeldete Benutzer) oder jede andere Bedingung, die Sie mögen. Deaktivieren Sie dann Sitzungscookies und use_trans_sid.

Erstellen Sie dann einen Code, um das Sitzungsverhalten basierend auf dieser neuen Tabelle zu verwalten!

nach dem session_start() Session_id in der Tabelle speichern und später aus der Tabelle erhalten (nach IP und jeder anderen Bedingung) und dann aufrufen

session_id($in_table_session_id);

Weitere Informationen und eine vollständige Anleitung finden Sie unter: https://gist.github.com/mimrahe/77415f4a9e238c313bbe8c42f8a6b7fe

Wenn ich das tun wollte, würde ich die Sitzungs-ID im HTML-Code als Kommentar-Tag hinzufügen und den PHP-Code verwenden und konfigurieren, um diese Sitzungs-ID zu verwenden, die im HTML-Code enthalten ist. Ich denke, es wird relevanter sein, dies zu tun, anstatt es mit der Benutzer-IP zu tun oder die Sitzungs-ID in der URL hinzuzufügen.

Die richtige Antwort darauf ist NEIN. Die Verwendung einer beliebigen Kombination von Variablen außer einem Cookie ist unsicher.

Denken Sie darüber nach: Wenn ein Benutzer ZUERST eine Seite anfordert, sendet der Server die Seite zusammen mit einem eindeutigen Wert, der besagt: „HTTP ist zustandslos, behalten Sie dies bei, damit ich weiß, dass Sie es beim nächsten Anruf sind“. Das bedeutet, dass diese Person in diesem Browser (unabhängig von der Registerkarte), der zu diesem Zeitpunkt ausgeführt wird, über ein eindeutiges Token verfügt.

Nur wenn sie sich erfolgreich angemeldet haben, kann dieses Token jetzt serverseitig an eine Sitzung gebunden werden. Token sollen so lang und zufällig sein, dass niemand rechtzeitig einen erraten kann.

Mehrere Browser könnten dieselbe IP-Adresse verwenden. Mehrere Personen könnten genau denselben Benutzeragenten haben. Ein Cookie ist das einzige Speichersystem, das funktioniert.

Es gibt tatsächlich noch einen weiteren Weg, nämlich das eindeutige Token hinzuzufügen jeder einzelne Link zurück zum Server sowie alle AJAX-Aufrufe, wie ?PHPSESSID=my-unique-token-189481958 – aber das ist ein Schmerz zu codieren.