Logowanie na bazie MySQL, a nie na sesjach - bezpieczne? Opcje

[infoo1]

Mam pomysł na zrobienie takiego logowania na bazie:
1. Nie ma sesji, ani cookies.
2. Struktura tabeli z sesjami:

Kod

+---------+------------+--------------+---------+------------+-------------+
| user_id | session_id | user_browser | user_ip | start_time | remember_me |
+---------+------------+--------------+---------+------------+-------------+

Objaśnienia:

• user_id:
  id użytkownika z tabeli prefix_users
• session_id:
  "sid". Planuję go przekazywać w adresie (index.php?mode=blablabla&sid=tu_sid). //W PHP była funkcja generująca sid. Jak się nazywała?
• user_browser:
  $_SERVER['HTTP_USER_AGENT'];
• user_ip:
  $_SERVER['REMOTE_ADDR'];
• start_time:
  time(); przy logowaniu. W konfiguracji ustalam po jakim czasie ma wylogowywać (tabela prefix_config).
• remember_me:
  auto-logowanie

3. Przy każdym odświeżeniu strony sprawdzam, czy zgadza się user_browser, user_ip, start_time, session_id.
4. Remember_me: działa, jeśli jest dozwolone w konfiguracji.
Pytania:
1. Czy to bezpieczne? Coś pominąłem?
2. Czy sprawdzać oprócz tego $_SERVER['X_FORWARDED_FOR']; //I czemu nie znalazłem tego w manualu?
3. Na ile powinienem ustawić domyślny czas trwania sesji (bo może być albo domyślny, albo na zawsze (remember_me może być 0 lub 1)).

Ten post edytował infoo1 12.12.2008, 22:05:22

[infoo1]

oj ... miałem na mysli dwa okna IE = dwie różne sesje (bądź dwa okna FF to dwie różne sesje), nie pamiętam czy ten efekt jest pod FF czy pod IE ale chyba w obu ...

Mówiłem o tym:

otworzę stronę w FF, zaloguję się, skopiuje adres do IE i mam ciągle tą samą sesję.

poza tym funkcja is_session() zawsze zwróci true, o ile nie zawiesi procesu (to samo w get_user_id)

Dlaczego? Co zrobić, aby działało?

magicznych zmiennych

A co to? Chodzi o define("SESSIONS_TABLE", $config['prefix'].'sessions');, a potem w zapytaniu:

$sql = "SELECT user_id FROM ".SESSIONS_TABLE." WHERE session_id='".$sid."' AND user_browser='".$user_browser."' AND user_ip='".$user_ip."'";

[Darti]

Dlaczego? Co zrobić, aby działało?

chodzi mi o to:

[PHP] pobierz, plaintext 
<?php
while ($rec = $arr){$is_session = true;}
?>
[PHP] pobierz, plaintext 

przypisanie $rec = $arr zawsze da true bo się udało, więc pętla while będzie nieskończona ....
http://pl.php.net/manual/pl/control-structures.while.php

no i skąd bierzesz zmienne $sid, $user_browser itd w funkcji is_session ?

Ten post edytował Darti 13.12.2008, 00:43:54