[PHP]Pyt. odnośnie sesji Opcje

[nait]

Witam, trochę szukałem na ten temat aczkolwiek nic ciekawego nie znalazłem. Mianowicie mam sprawdzenie poprawności sesji

[PHP] pobierz, plaintext 
 
function SessionAuth() {
	if (!(isset($_SESSION['auth']) && isset($_SESSION['user']) && $_SESSION['user_ip'] && $_SESSION['user_browser'] &&
		1 == $_SESSION['auth'] && $_SESSION['user_ip'] == IP() && $_SESSION['user_browser'] == $_SERVER['HTTP_USER_AGENT'])) {
		$_SESSION['reports']['message'] = 'Nie jesteś zalogowany'; 
		$_SESSION['reports']['type'] = 'info';
		header ('Location: login.php');
		exit;
	}
}
[PHP] pobierz, plaintext 

I sprawdzenie wykonuje na każdej jakby głównej stronie, ale co z includowanymi plikami z trescią, funkcjami, połączeniem itd? W każdym jednym powinienem sprawdzać czy ktoś jest zalogowany czy nie? Chodzi mi tu głównie o sytuację gdy ktoś wpiszę w przeglądarkę bezpośredni link do jakiegoś tam includowanego pliczku typu inc/cos.php itp itd.
Dodam, że to taki mały panel admina więc osoba niezalogowana nie powinna nic widzieć.

A drugie pytanie, gdy wylogowuję użyć ession_unset() i session_destroy() czy np wystarczy unset zmienne sesyjne, które zapisałem?

Jeszcze jedno pytanko (IMG:style_emoticons/default/tongue.gif) Jak lepiej czyścić tablicę komunikatów, unset($_SESSION['reports']) czy po prostu $_SESSION['reports'] = array();

Ten post edytował nait 26.09.2011, 23:24:55

[nait]

Dzięki wielkie, przerobie wedle potrzeb.
Kolejne pytanie (IMG:style_emoticons/default/wstydnis.gif)

[PHP] pobierz, plaintext 
function SessionAuth() {
	if (!(isset($_SESSION['auth']) && isset($_SESSION['user']) && $_SESSION['user_ip'] && $_SESSION['user_browser'] &&
		1 === $_SESSION['auth'] && $_SESSION['user_ip'] === IP() && $_SESSION['user_browser'] === $_SERVER['HTTP_USER_AGENT'])) {
                session_regenerate_id();  // <---  ?
		$_SESSION['reports']['message'] = 'Nie jesteś zalogowany'; 
		$_SESSION['reports']['type'] = 'info';
		header ('Location: login.php');
		exit;
	}
}
[PHP] pobierz, plaintext 

Tak czytałem o bezpieczeństwu sesji i nie wiem czy dobrze zakumałem, ale jeśli autoryzacja nie powiodła się powinienem wygenerować nowe id sesji przy pomocy session_regenerate_id();?
Czy tylko przy inicjowaniu jej tak jak miałem dotychczas czyli:

[PHP] pobierz, plaintext 
					// jakis tam kod
					session_regenerate_id();
					$_SESSION['id'] = session_id(); 
					$_SESSION['auth'] = 1;
					$_SESSION['user'] = $login;
					$_SESSION['user_ip'] = IP();
					$_SESSION['user_browser'] = $_SERVER['HTTP_USER_AGENT'];
					header ('Location: admin.php');
					exit;
[PHP] pobierz, plaintext 

Edit: tak patrze na inne cmsy i czy jest sens blokowania innych includowanych plikow?

Ten post edytował nait 27.09.2011, 20:50:18