Авторизация пользователей.

Ребятки, есть вопрос, на который я так и не нашел четкого ответа. То есть имеется куча информации в моей голове и, следовательно, куча вопросов.

Касается все это дело механизма авторизации пользователей на сайте.
Как я себе все это представляю:
В куки пишем некую последовательность символов. Юзер приходит на сайт. php лезет в бд и смотрит, есть ли совпадения этой последовательности символов и если находит ее, то смотрит какому пользователю она принадлежит, далее сессион_старт. И при каждом обновлении страницы проверяем наличие сессии и таким образом скрипт узнает пользователей.

А если не открывать сессию и банально при каждом обновлении страницы сверять некий длинный код из куков с базой данных и узнавать кто к нам пришел.

Какой смысл открывать сессию если она кинет нам в куки идентификатор и каждый раз мы его будем отправлять на сервер. Почему бы ее тогда вообще не открывать, а генерировать случайную последовательность скриптом, писать ее в куки и постоянно сверять с бд.

Логичное объяснение использования сессии я увидел только одно. Т.к. она хранится на сервере, в нее можно записать имя юзера и не проводить сверку с бд каждый раз, а писать имя пользователя в куки как-то не хочется.

Собственно. Что могут сказать по этому поводу более опытный программисты?

0

Ну да при вводе логина и пароля посылается запрос на сервер, от туда возвращается результат, если логин и пароль равны истине, то создаем сессии и (или) куки, после чего снова посылаем запрос на сервер и если имя сессии или куки равны истине, показываем приветсвие "Добро пожаловать Виктор!" и другую скрытую информацию!

А про сессии и куки можешь почитать тут http://prootime.ru/php-sessions-cookies полезная информация

0

Сообщение от vixa Ну да при вводе логина и пароля посылается запрос на сервер, от туда возвращается результат, если логин и пароль равны истине, то создаем сессии и (или) куки, после чего снова посылаем запрос на сервер и если имя сессии или куки равны истине, показываем приветсвие "Добро пожаловать Виктор!" и другую скрытую информацию! А про сессии и куки можешь почитать тут http://prootime.ru/php-sessions-cookies полезная информация

Любезнейший, прочитайте правила форума

0

ну а что мне надо было ему все информацию с сайта копировать и вставлять сюда? пусть сам читает там

0

ребятки. Не ссорьтесь. Инфу копировать не надо никуда. Там ерунда. По сути не о чем.
Но все равно спасибо. Первый пост писал быстро, без конкретики. Хотелось услышать комментарии опытных разработчиков. ну да ладно.
По факту.
В качестве куки хочу кидать юзеру "случайные букавки". В бд хранится hash('sha512', "случайные букавки" + юзер_агент). Если суммы совпали - вуаля -> стартуем сессию.
Пароли в бд лежат в виде hash('sha512', пароль + рандомная соль).

Добавлено через 1 минуту
Достаточно такого или нет. Буду не против, если кто-то кинет ссылочку на какую-нибудь свеженькую статью по этому поводу, если такие имеются.

Добавлено через 1 час 5 минут
Еще немного подумал. А если получать кэши таким вот образом:
sha512(sha512(uniqid(rand(), true)) . $пароль)

Добавлено через 2 минуты
Вопрос, куда бы подальше спрятать то, что вернула rand()

Добавлено через 2 минуты
Да, и к чему можно еще "прявязать" куки кроме юзер_агента? (айпишник не считается ибо бльшенство наших провайдеров дают серые ip. дак какой смысл их привязывать... только пользователям с динамическими ипами жизнь усложню)

Добавлено через 6 минут
Хотя, нет, прятать соль это уже фанатизм какой-то

0

Сообщение от Olegaaator Пароли в бд лежат в виде hash('sha512', пароль + рандомная соль).

Интересно как это работает на практике... Ведь, что бы сравнить со значением в БД необходимо генерировать такую же "рандомную соль"( если я правильно понял смысл ), но уже к введенному при авторизации паролю...

0

Рандомная соль один раз генерируется. Потом хранится вместе с хэшем. Видимо, неправильно поняли.

0

Что относиться к авторизации пользователя тут все понятно, а для аутентификации пользователя я использую session + localStorage(если поддерживает браузер) + Cookie.
Это позволяет следующие:
1. Нет запросов к БД при аутентификации (только один раз обращаемся к БД при авторизации)
2. Cookie - храним 2 параметра 1 - имя сессии, 2 - ключ доступа к session_id ( в зашифроваваном виде)
3. localStorage - нужно для хранение разных параметром и меток + позволяет работать с разными окнами ...

Аутентификации умеет работать в 2-х режимах:
1. обычный - это когда ключ не динамический и он изменяется только при обновлении страницы
2. динамический - тут у нас ключ динамический изменяться около 2000 раз в час автоматически, при этом не создает ни каких неудобств или проблем.

Вот такой способ я использую, правда это ещё пока не работает в боевых условиях, а только в разработке проекта.

0

http://pyha.ru/articles/php/auth/ плохо ищещ мил человек

0