Зачем используют сессии?

Достаточно долгое время занимаюсь веб технологиями и PHP и до сих пор не могу понять зачем (не как, а зачем) используют сессии.

Опишу механизм сессии упрощенно
При сессии пользователю ставится cookie с идентификатором сессии (для PHP - PHPSESSID).
Вся информация пользователя, которую надо сохранить, сохраняется в файлах на сервере.
И при обращении пользователя, сервер читает идентификатор (PHPSESSID) и ищет файлы ассоциированные с этим идентификатором.
Фактически сессия - это куки на сервере.

Механизм кук более простой.
Вся информация пользователя, которую надо сохранить, сохраняется в файлах на компьютере пользователя (в файлах, называемых cookie). И оттуда же читается.

В чем проблема
Проблема в том, что срок жизни сессии устанавливается на сервере.
В связи с этим возникает множество неудобств
1) По умолчанию он 24 минуты.
2) Не всегда есть доступ к php.ini. (Обычный хостинг)
3) Максимальный срок жизни сессии 24 часа.

Моя задача, как программиста сделать использование сайта максимально удобным. Да и как пользователь я хочу чтобы мне было комфортно работать в интернете.

Часто возникает ситуация, что я авторизовавшись работаю с сайтом. И после закрытия браузера (или через определенное время) моя авторизация пропадает.
Нужно вводить данные снова. Это не удобно.
С куками, таких проблем, разумеется нет.

Зачем используют сессии, когда есть куки? Куки удобнее, проще, универсальнее.
Не будет "автовыхода" с сайта. Человек сам решит когда ему выйти. Не нужно настраивать сервер. Данные каждого человека хранятся на его компьютере (в его куках). Сплошные преимущества.

0

Сообщение от sad67man вы должны ориентироваться на конечного пользователя

нет, в данном случае в целях безопасности ПОЛЬЗОВАТЕЛЬ ДОЛЖЕН ориентироваться на то, как он должен вести себя на МОЁМ сайте, то есть не логиниться сразу с нескольких устройств, что может у меня вызвать подозрение о попытке поиска уязвимостей на сайте

Добавлено через 2 минуты

Сообщение от estic кошка может погулять и по единственному устройству

во-во, а если их будет несколько залогиненных устройств и они где попало будут валяться? это же увеличивает шанс того, что кто-угодно может выполнять действия на сайте

кстати на многих сайтах есть типа правила - нельзя передавать аккаунт, в этом случае активность с нескольких устройств может быть расценена, как передача ну я утрирую, но это как пример

0

Сообщение от Verolomstvo на МОЁМ сайте

Ваше право. Мы здесь не о вашем сайте говорим

0

Сообщение от estic Мы здесь не о вашем сайте говорим

так на чужих пусть ходит с нескольких я не против, у меня только с одного сидят

0

Verolomstvo, Мне представляется такой диалог
- хочу заходить с нескольких устройств.
- зачем тебе заходить с нескольких устройств, а вдруг у тебя есть кошка?
- у меня нет кошки.
- а что если ты сядешь на девайс и закажешь себе что-нибудь?
- у меня девайсы не валяются где попало.
- а может ты злоумышленник и пытаешься нас взломать
- да наверное мне вообще не стоит заходить на ваш сайт, я буду пользоваться другими, где есть такая возможность)

0

Сообщение от sad67man - хочу заходить с нескольких устройств. - зачем тебе заходить с нескольких устройств, а вдруг у тебя есть кошка? - у меня нет кошки. - а что если ты сядешь на девайс и закажешь себе что-нибудь? - у меня девайсы не валяются где попало. - а может ты злоумышленник и пытаешься нас взломать - да наверное мне вообще не стоит заходить на ваш сайт, я буду пользоваться другими, где есть такая возможность)

продолжение:
- да, Вы можете даже уехать в другую страну и жить по её законам, если Вас не устраивают нормы поведения в этой

0

Verolomstvo, Это просто уровень вашей аргументации.
Ключевые фразы хочу заходить с нескольких устройств и где есть такая возможность.

0

sad67man, у себя только что залогинился в Интернет-банкинге с ПК и потом с мобилы, при обновлении страницы на ПК - разлогин

какой-то дурак там программист в этом банке сидит ерунду какую-то сделал не даёт с нескольких устройств зайти

Добавлено через 1 минуту

Сообщение от sad67man Ключевые фразы хочу заходить с нескольких устройств и где есть такая возможность.

ключевые ответы хотеть не вредно и такой возможности не должно быть в целях безопасности

0

useruser, всё что реализовано в сессиях можно реализовать на куках + БД (или с файловой системой). А чтобы ответить на вопрос: зачем использовать сессию если можно сделать свой велосипед? Ответ очень простой: Чтобы не изобретать велосипед! )) Да и вообще, в пхп куча функций которые можно реализовать самостоятельно. Тот же preg_match_all можно заменить собственным велосипедом. Но зачем?

Видимо у вас просто не возникала необходимость в реализации механизма сессии, поэтому у вас и возник такой вопрос. А если привести пример где это может потребоваться, то вот например в такой ситуации: нет возможности подключить БД, но у пользователя, во время активного сеанса, должны сохраняться какие-то приватные настройки (информация). Даже зная айди сессии, злоумышленник не получит доступ к данным самой сессии.

1

Verolomstvo, Это некорректное сравнение, интернет магазин и интернет-банкинг. Даже в этом случае, если рассматривать с точки зрения конечного пользователя - он будет переживать за безопасность своих средств. И будет лучше пользоваться тем сайтом, где нужно каждый раз вводить пароль. Поэтому данный пример не противоречит всему что я сказал выше.

0

Verolomstvo, какой банк?

0

estic, Белвнешэконом

Добавлено через 2 минуты

Сообщение от sad67man Это некорректное сравнение, интернет магазин и интернет-банкинг

ага, если этот интернет-магазин ещё и какая-нибудь шарага, ГДЕ НАПИСАН АДРЕС - ВЛАДИВОСТОК И УСЛОВИЯ ДОСТАВКИ - САМОВЫВОЗ, а я в Орше - Беларусь нахожусь Видел я и такие чудо-ИНТЕРНЕТ-магазины ржал полдня

0

Сообщение от sasha0012 Ответ очень простой: Чтобы не изобретать велосипед! ))

В данном случае не совсем так. Может быть проще (или даже единственное, что остается) все полностью переписать, чем бороться с имеющимися ограничениями, настройками по умолчанию и т.п.

Добавлено через 13 минут

Сообщение от Verolomstvo Видел я и такие чудо-ИНТЕРНЕТ-магазины ржал полдня

И что Интернет-магазинов для торговли "по месту" вовсе не должно быть? Просто накладно арендовать помещение и т.д., а товар при этом может пользоваться достаточным спросом даже только по месту.

0

Сообщение от estic В данном случае не совсем так.

в каком конкретно случае? У ТС в теме проблема решается элементарно куками, о чём он сам и написал.

Сообщение от estic Может быть проще (или даже единственное, что остается) все полностью переписать,

для какого-то кейса, да, может быть. А ещё может быть что задача вообще на пхп не решается, и что с того? Механизм сессии бесполезен?

0

Сообщение от estic все полностью переписать

ага, видел я в самом ФВ Симфони (ЕМНИМ класс Kernel) крутой программист написал метод getProjecDir, который делает
return тут ему зачем, боится потерять то, что уже вернула dirname()?

и везде его суёт getProjecDir() . '/путь', вызывая каждый раз dirname()

он какие тут ограничения снял? хотел выйти в РУТ проекта? так напиши в точке входа

и пиши просто пути ВЕЗДЕ, какие надо

0

Сообщение от Verolomstvo Видел я и такие чудо-ИНТЕРНЕТ-магазины

Во-первых - если магазин не предоставляет услуги доставки - это еще не значит, что сайт написан плохо, или у него проблемы с безопасностью. Скорее всего, что бизнес либо еще слабо развит и развивается, или вообще не ориентируется на доставку по всему миру. Т.е. это не имеет отношение к программной части сайта.

Думаете все дураки? и не знают элементарных вещей? или же все-таки это зависит от требований - и если есть такая возможность и появится потребность, то может лучше ее предоставить, чем категорически от этого отказываться, не аргументируя тем, что сайт МОЙ, как хочу так и делаю. Когда сайт ВАШ - ваше дело.

Но если вам заказали сделать сайт, то вам будет трудно объяснить это заказчику. Особенно с такой аргументации, типа "да видел я такое, ржал долго потом". А вот мне не понятно, что тут смешного?

0

sad67man, для заказа в магазине не нужна авторизация с нескольких устройств - вот тут точно нет ничего смешного, а вот с логина на нескольких я лично ржу, видимо автор сайта учёт активности ведёт по устройствам и один аккаунт у него в онлайне отображается, как 10

0

Сообщение от Verolomstvo для заказа в магазине не нужна авторизация с нескольких устройств

Почему? К примеру один из сайтов, который я сейчас поддерживаю - интернет-магазин для оптовиков, где пользователи набирают товары в корзину по несколько дней.
Они бы даже и не поняли, что на сайте можно заходить только с одного устройства - скорее бы прилетела задача с БАГ-ом, что пользователей постоянно разлогинивает. А при попытке объяснить, тут же бы прилетело куча примеров интернет-магазинов, где такого нет (я же не могу использовать вашу аргументацию, "а вдруг у них кошка" - детский сад). И это я еще могу попытаться объяснить заказчику - но невозможно объяснить всем пользователям, что вы просто неправильно пользуетесь сайтом.

0

sad67man, так у тебя значит корзина без авторизации, раз существует вероятность потери наполнения, не? У авторизованного такого не должно быть Залогинился с другого устройства - продолжил заполнение, а так значит на одном в сессию пихал а на втором ясен пень потерял.

Иначе как они тогда с нескольких заполняют корзину? Значит данные хранятся постоянно.

0

Сообщение от Verolomstvo так у тебя значит корзина без авторизации, раз существует вероятность потери наполнени

Вы читайте что я пишу.. где написано про потери наполнения?

Добавлено через 2 минуты
Verolomstvo, У меня то как раз все работает как надо. И с несколькими устройствами и нет проблем с безопасностью. Я просто привел в пример - мысленный эксперимент - что было бы если бы работало по вашему.

0

Сообщение от sad67man Вы читайте что я пишу.. где написано про потери наполнения?

ну так если не теряют, то зачем им сидеть с нескольких, я не пойму в чём прикол держать в онлайне несколько учёиок, либишь следить сколько и какие у кого устройства? Так пиши в логи новое, если не совпало с имеющимся по учёту

я только так могу это понять, что слежка тупо идёт

0