Logowanie na bazie MySQL, a nie na sesjach - bezpieczne? Opcje

[infoo1]

Mam pomysł na zrobienie takiego logowania na bazie:
1. Nie ma sesji, ani cookies.
2. Struktura tabeli z sesjami:

Kod

+---------+------------+--------------+---------+------------+-------------+
| user_id | session_id | user_browser | user_ip | start_time | remember_me |
+---------+------------+--------------+---------+------------+-------------+

Objaśnienia:

• user_id:
  id użytkownika z tabeli prefix_users
• session_id:
  "sid". Planuję go przekazywać w adresie (index.php?mode=blablabla&sid=tu_sid). //W PHP była funkcja generująca sid. Jak się nazywała?
• user_browser:
  $_SERVER['HTTP_USER_AGENT'];
• user_ip:
  $_SERVER['REMOTE_ADDR'];
• start_time:
  time(); przy logowaniu. W konfiguracji ustalam po jakim czasie ma wylogowywać (tabela prefix_config).
• remember_me:
  auto-logowanie

3. Przy każdym odświeżeniu strony sprawdzam, czy zgadza się user_browser, user_ip, start_time, session_id.
4. Remember_me: działa, jeśli jest dozwolone w konfiguracji.
Pytania:
1. Czy to bezpieczne? Coś pominąłem?
2. Czy sprawdzać oprócz tego $_SERVER['X_FORWARDED_FOR']; //I czemu nie znalazłem tego w manualu?
3. Na ile powinienem ustawić domyślny czas trwania sesji (bo może być albo domyślny, albo na zawsze (remember_me może być 0 lub 1)).

Ten post edytował infoo1 12.12.2008, 22:05:22

[infoo1]

Nie zawsze ma się dostęp do takich rzeczy


Jednak wracam do starego sposobu:

[PHP] pobierz, plaintext 
<?php
 class user
  {
    var $userdata = array();
 
 
    function session_begin()
    {
      $this->assign_userdata();
      $this->assign_session_userdata();
    }
 
    function session_kill()
    {
      unset($_SESSION);
      unset($this->userdata);
    }
 
    function assign_userdata()
    {
      global $db;
      $sql = "SELECT * FROM ".USERS_TABLE." WHERE user_id='".$this->get_user_id()."'";
      $sql = $db->sql_query($sql);
      $i++;
      while ($row = $db->sql_fetcharray($sql))
      {
        foreach ($row as $key => $value)
        {
          $this->userdata[$key] = $value;
        }
      }
 
      if($this->userdata['user_id'] !== 0)
      {
        $this->userdata['is_registered'] = true;
      }
      else
      {
        $this->userdata['is_registered'] = false;
      }
    }
 
    function assign_session_userdata()
    {
      $_SESSION['user_id']    = $this->userdata['user_id'];
      $_SESSION['user_login'] = $this->userdata['user_login'];
      $_SESSION['user_pass']  = $this->userdata['user_pass'];
      $_SESSION['user_grade'] = $this->userdata['user_grade'];
    }
 
    function get_user_id()
    {
      if(isset($_SESSION['user_id']))
      {
        return $_SESSION['user_id'];
      }
      else
      {
        $_SESSION['user_id'] = 0;
        return 0;
      }
    }
 
    function login($login,$pass)
    {
      global $db, $main;
      $browser = $_SERVER['HTTP_USER_AGENT'];
      $ip      = $_SERVER['REMOTE_ADDR'];
      $sid     = $this->generate_sid();
 
      $sql = "SELECT user_id FROM ".USERS_TABLE." WHERE user_login='".$login."' AND user_pass='".$password."'";
      $sql = $db->sql_query($sql);
      while ($row = $db->sql_fetcharray($sql))
      {
        $_SESSION['user_id'] = $row['user_id'];
      }
      $main->redirect($main->generate_url('UCP',true,$sid));
      return true;
    }
 
    function register()
    {
      global $main;
 
      if(empty($_POST['login'])){
        $errcodes[] = 'EMPTY_LOGIN';
      }
      if(strlen($_POST['login']) > $main->config['login_max_strlen']){
        $errcodes[] = 'LONG_LOGIN';
      }
      if(strlen($_POST['login']) < $main->config['login_min_strlen']){
        $errcodes[] = 'SHORT_LOGIN';
      }
 
 
      if(empty($mail))
      {
        $errcodes[] = 'EMPTY_MAIL';
        $check_mail = false;
      }
      if ($check_mail && !eregi("^[_a-z0-9-]+(.[_a-z0-9-]+)*@[a-z0-9-]+(.[a-z0-9-]+)*(.[a-z]{2,4})$", $_POST['mail']))
      {
        $errcodes[] = 'INVALID_MAIL';
      }
 
 
      if(empty($_POST['pass'])){
        $errcodes[] = 'EMPTY_PASS';
      }
      if(strlen($_POST['pass']) > $main->config['pass_max_strlen']){
        $errcodes[] = 'LONG_PASS';
      }
      if(strlen($_POST['pass']) < $main->config['pass_min_strlen']){
        $errcodes[] = 'SHORT_PASS';
      }
 
 
      if(count($errcodes) > 0)
      {
        $sql = "";
      }
      else
      {
        global $template, $lang;
 
        foreach ($errcodes as $key => $value)
        {
          /*switch ($value)
          {
            case 'EMPTY_LOGIN':
              $value2 = $lang->register['EMPTY_LOGIN'];
            break;
 
            case 'LONG_LOGIN':
              $value2 = $lang->register['LONG_LOGIN'];
            break;
 
            case 'SHORT_LOGIN':
              $value2 = $lang->register['SHORT_LOGIN'];
            break;
 
            case 'INVALID_MAIL':
              $value2 = $lang->register['INVALID_MAIL'];
            break;
 
            case 'EMPTY_MAIL':
              $value2 = $lang->register['EMPTY_MAIL'];
            break;
 
            case 'EMPTY_PASS':
              $value2 = $lang->register['EMPTY_PASS'];
            break;
 
            case 'LONG_PASS':
              $value2 = $lang->register['LONG_PASS'];
            break;
 
            case 'SHORT_PASS':
              $value2 = $lang->register['SHORT_PASS'];
            break;
 
            default:
              $value2 = $lang->register['DEFAULT'];
            break;
          }
          $errmsgs[$key] = $value2; */
          $errmsgs[$key] = $lang->register[$value];
        }
 
        foreach ($errmsgs as $key => $value)
        {
          $template->assign_block_vars('registration_errors',array(
            'ERROR' => $value
          ));
        }
      }
    }
 
    function generate_sid()
    {
      $chars  = 'qwertyuiopasdfghjklzxcvbnmQWERTYUIOPASDFGHJKLZXCVBNM1234567890';
      $number = 40;
      $strlen = strlen($chars)-1;
 
      $i   = 0;
      $sid = '';
 
      while ($i < $number)
      {
        $id   = rand(0,$strlen);
        $sid .= mb_substr($chars,$id,1);
        $i++;
      }
      return $sid;
    }
  }
?>
[PHP] pobierz, plaintext 

2 pytania:

1. Bezpieczne?
2. Optymalne?