Использование данных на других страницах

22.04.2007, 13:04. **Показов** 1283. **Ответов** 5

Студворк — интернет-сервис помощи студентам

У меня такой вопрос.
Логинется юзер на сайт, я проверяю его по базе(имя/пароль), затем мне надо чтобы он авторизированный гулял по моим страницам, естественно на каждой я не буду его просить ввести имя/пороль, передовать его login/pass в параметре с URL тоже не разумно, я генерирую ему 20-значный id, заношу его в базу в соответствии с юзером и он потом с ним лазеет по моим страницам (http://myserver.com/news.asp?id=84hsg64jf8567fhgvj5b)
Проблема в том, что на каждой странице идет обращаение к базе, чтобы идентифицировать юзера, что ессесено сказывается на производительности. Мож есть другой способ, например Session, чтобы распозновать юзера? Только чтобы не дырявый был.

22.04.2007, 13:16

Как я делаю:
после авторизации присваиваем переменную Session('username')=имя_пользователя (или id хранить)
Делаем файл check.asp:
------===========-----------
if Session('username')='' then Response.redirect('login.asp')
------===========-----------
и вкаждую страницу (где нужна проверка) вначало вставляюэтот файл includ'ом

Поскольку Session у всех разные, следовательно Session('username') не будут пересекаться и затираться

22.04.2007, 13:29

Так и знал, что ты так скажешь :-))
А насколько он безопасен? Я имею ввиду, можно ли как-то окольными путями организовать несанкционированную ссесию и впихнуть чей-нибудь ник или id в Session-объект, или все зависит насколько умело напишишь авторизацию check.asp?
Кстати при малейшем обрыве коннекта, ему придется по-новы логиниться? По-моему я что-то слышал о жизни объекта Session около 20 минут, так ли это?

@Alexey · 22.04.2007, 13:43

Насчет безопастности не знаю, честно говорю, но передавать сессию в URL page.asp?id=84hsg64jf8567fhgvj5b тоже не безопасно. Например, юзер ткнул на ссылку на другой сайт, там есть статистика реферов, админ того сайта или кто еще (бывает, что статистика посещений показывается открыто) видит - только что пришел юзер со ссылки 'page.asp?id=84hsg64jf8567fhgvj5b', тыкает на него и получает доступ к твоему сайту, как тот предыдущий посетитель!

Такая фигня часто бывает на дешевых халявных почтовых серверах и т.п., сам видел - у меня на сайте раньше была live-статистика, описанная выше...

А вот если ты сделаешь, как сказал Сержик, то уже никто не увидит, что у тебя в объекте Session...

Таймаут можно установить вручную, например в global.asa

Session.Timeout = 10

а так, по-умолчанию, он, действительно, 20 минут.

22.04.2007, 13:57

Та я ж не против Session, просто уточнить хотел.
А насчет id, мы ж тоже не дураки, при каждом логине он новый и при нажатии 'logout' его id забивается чем-то вроде 'locked', а при проверки авторизации если id='locked' то пользователь отсылаестя далеко :-)
Для забывчивых предусмотренно Session_OnEnd id = 'locked' и тд.
Напутано, зато надежно :-)

@Alexey · 22.04.2007, 14:15

Не уверен, что при нажатии на твоем сайте на ссылку другого сайта (см. путь, описанный выше) выполнится Session_OnEnd, поэтому sessionID после редиректа (в течении таймаута) у тебя останется, поэтому... (опять см. путь, описанный выше).

Новые блоги и статьи Все статьи Все блоги /
Мысли в слух. Про "навсегда". kumehtar 16.04.2026 Подумалось тут, что наверное очень глупо использовать во всяких своих установках понятие "навсегда". Это очень сильное понятие, и я только начинаю понимать край его смысла, не смотря на то что давно. . .	My Business CRM MaGz GoLd 16.04.2026 Всем привет, недавно возникла потребность создать CRM, для личных нужд. Собственно программа предоставляет из себя базу данных клиентов, в которой можно фиксировать звонки, стадии сделки, а также. . .	Знаешь почему 90% людей редко бывают счастливыми? kumehtar 14.04.2026 Потому что они ждут. Ждут выходных, ждут отпуска, ждут удачного момента. . . а удачный момент так и не приходит.	Фиксация колонок в отчете СКД Maks 14.04.2026 Фиксация колонок в СКД отчета типа Таблица. Задача: зафиксировать три левых колонки в отчете. Процедура ПриКомпоновкеРезультата(ДокументРезультат, ДанныеРасшифровки, СтандартнаяОбработка) / / . . .
Настройки VS Code Loafer 13.04.2026 { "cmake. configureOnOpen": false, "diffEditor. ignoreTrimWhitespace": true, "editor. guides. bracketPairs": "active", "extensions. ignoreRecommendations": true, . . .	Оптимизация кода на разграничение прав доступа к элементам формы Maks 13.04.2026 Алгоритм из решения ниже реализован на нетиповом документе, разработанного в конфигурации КА2. Задачи, как таковой, поставлено не было, проделанное ниже исключительно моя инициатива. Было так:. . .	Контроль заполнения и очистка дат в зависимости от значения перечислений Maks 12.04.2026 Алгоритм из решения ниже реализован на примере нетипового документа "ПланированиеПерсонала", разработанного в конфигурации КА2. Задача: реализовать контроль корректности заполнения дат назначения. . .	Архитектура слоя интернета для сервера-слоя. Hrethgir 11.04.2026 В продолжение https:/ / www. cyberforum. ru/ blogs/ 223907/ 10860. html Знаешь что я подумал? Раз мы все источники пишем в голове ветки, то ничего не мешает добавить в голову такой источник, который сам. . .

master

	Использование данных на других страницах 22.04.2007, 13:04. Показов 1283. Ответов 5 Метки нет (Все метки) У меня такой вопрос. Логинется юзер на сайт, я проверяю его по базе(имя/пароль), затем мне надо чтобы он авторизированный гулял по моим страницам, естественно на каждой я не буду его просить ввести имя/пороль, передовать его login/pass в параметре с URL тоже не разумно, я генерирую ему 20-значный id, заношу его в базу в соответствии с юзером и он потом с ним лазеет по моим страницам (http://myserver.com/news.asp?id=84hsg64jf8567fhgvj5b) Проблема в том, что на каждой странице идет обращаение к базе, чтобы идентифицировать юзера, что ессесено сказывается на производительности. Мож есть другой способ, например Session, чтобы распозновать юзера? Только чтобы не дырявый был.

Sergik
	22.04.2007, 13:16
	Как я делаю: после авторизации присваиваем переменную Session('username')=имя_пользователя (или id хранить) Делаем файл check.asp: ------===========----------- if Session('username')='' then Response.redirect('login.asp') ------===========----------- и вкаждую страницу (где нужна проверка) вначало вставляюэтот файл includ'ом <!--#include file='check.asp'--> Поскольку Session у всех разные, следовательно Session('username') не будут пересекаться и затираться

master
	22.04.2007, 13:29
	Так и знал, что ты так скажешь :-)) А насколько он безопасен? Я имею ввиду, можно ли как-то окольными путями организовать несанкционированную ссесию и впихнуть чей-нибудь ник или id в Session-объект, или все зависит насколько умело напишишь авторизацию check.asp? Кстати при малейшем обрыве коннекта, ему придется по-новы логиниться? По-моему я что-то слышал о жизни объекта Session около 20 минут, так ли это?

@Alexey 0 / 1 / 3 Регистрация: 27.03.2012
	22.04.2007, 13:43
	Насчет безопастности не знаю, честно говорю, но передавать сессию в URL page.asp?id=84hsg64jf8567fhgvj5b тоже не безопасно. Например, юзер ткнул на ссылку на другой сайт, там есть статистика реферов, админ того сайта или кто еще (бывает, что статистика посещений показывается открыто) видит - только что пришел юзер со ссылки 'page.asp?id=84hsg64jf8567fhgvj5b', тыкает на него и получает доступ к твоему сайту, как тот предыдущий посетитель! Такая фигня часто бывает на дешевых халявных почтовых серверах и т.п., сам видел - у меня на сайте раньше была live-статистика, описанная выше... А вот если ты сделаешь, как сказал Сержик, то уже никто не увидит, что у тебя в объекте Session... Таймаут можно установить вручную, например в global.asa Session.Timeout = 10 а так, по-умолчанию, он, действительно, 20 минут. 0

master
	22.04.2007, 13:57
	Та я ж не против Session, просто уточнить хотел. А насчет id, мы ж тоже не дураки, при каждом логине он новый и при нажатии 'logout' его id забивается чем-то вроде 'locked', а при проверки авторизации если id='locked' то пользователь отсылаестя далеко :-) Для забывчивых предусмотренно Session_OnEnd id = 'locked' и тд. Напутано, зато надежно :-)

@Alexey 0 / 1 / 3 Регистрация: 27.03.2012
	22.04.2007, 14:15
	Не уверен, что при нажатии на твоем сайте на ссылку другого сайта (см. путь, описанный выше) выполнится Session_OnEnd, поэтому sessionID после редиректа (в течении таймаута) у тебя останется, поэтому... (опять см. путь, описанный выше). 0