Was in einer Sitzung gespeichert werden soll

Question

Wenn ein Benutzer erfolgreich ein Kennwort und einen Benutzernamen eingibt und Sie die Sitzung festlegen möchten, welche Daten sollte die Sitzung enthalten? Ich bin ziemlich verwirrt darüber, ich habe gelesen, dass es eine zufällig generierte Zeichenfolge sein sollte, kann ich hashed user_id + salt speichern? Ich möchte in der Lage sein zu überprüfen, ob dies tatsächlich der richtige Benutzer:

Die Form:

<form method="POST" action=""> 
<input type="hidden" name="auth_token" value="<?php echo $form_token; ?>"> 
Username: <input type="text" name="username"> 
Password: <input type="password" name="password"> 
<input type="submit" name="action" value="Login"> 
</form> 

ich so etwas wie die folgenden tun:

if form token in session = form_token var in form 
    if username and password are correct 
    set session hash(user_id + salt) 

Edit: vergessen Um hinzuzufügen, wird es wahrscheinlich auf Shared Hosting sein.

Answer 1

Sie könnten einfach die Benutzer-ID im Sitzungs-Array speichern. Nur der Sitzungs-ID-Cookie wird an den Browser gesendet, und die "Außenwelt" weiß nicht, was in der Sitzung selbst gespeichert ist. Es ist auch praktisch, etwas zu speichern, um zu zeigen, dass ein Benutzer authentifiziert ist.

Speichern Sie Klartext-Passwörter niemals irgendwo.

$_SESSION["UserAuthenticated"] = true; 
$_SESSION["UserID"] = $userID; 

Answer 2

Ihre Sitzung sollte den Benutzernamen des Benutzers oder eine andere interne Benutzer-ID enthalten.

Es besteht keine Notwendigkeit zum Hashing, Salt, usw., da die Sitzungsdaten auf Ihrem Server gespeichert sind, nicht der Computer des Benutzers als Cookie. Es ist auch nicht notwendig, das Passwort in irgendeiner Form zu speichern, da Sie es bereits authentifiziert haben.

Answer 3

Einige Leute würden nur die ID speichern. Auch Ihre Idee einer gesalzenen Hash-Version würde ausreichen, erscheint aber wie Overkill. Überprüfen Sie beim nächsten Laden der Seite die ID für die Datenbank.

Answer 4

Gibt es einen Grund dafür, einen einfachen Boolean zu vermeiden, um anzuzeigen, dass ein Benutzer authentifiziert wurde? Wenn nicht, dann würde ich vorschlagen:

<?php 

if ($_POST["username"] == 'test' && $_POST["password"] == 'test') { 
    $_SESSION['authenticated'] = true; 
} 

?>