[PHP][MySQL] Logowanie + sesja + baza, Czy to ma sens? Opcje

[windman]

Witam,

Obecnie używam bardzo prostego skryptu autoryzacji, opartego tylko na sesji.
Chciałbym rozbudować skrypt (aby stał się bardzi bezpieczny ;-) i chciałbym się poradzić, czy to co planuję będzie bezpieczne.

To co chcę "dobudować":
a) chcę sprawdzać, czy podczas trwania sesji przypadkiem nie zmieniła się lokalizacja użytkownika
b ) chę ograniczyć czas trwania sesji

Rozwiązanie:
ad a) Podczas logowania do bazy zapisany zostanie IP, a następnie przy każdym odświeżeniu strony sprawdzany, gdy IP będzie inny, sesja zostanie zniszczona. Czy poza IP warto jeszcze coś zapisywać? Czy to nie obciąża zbytno bazy?
ad b ) do bazy zostanie zapisana data i godzina wykonania (załadowania, odświeżenia) skryptu, jeżeli przez 30 minut skrypt nie zostanie odświeżony to sesja zostanie zniszczona.

Pytania:
- Czy punkt a. zabezpiecza mi skrypt przed przejęciem sesji?
- Do bazy będę zapisywał ID sesji i sprawdzał przy każdym odświeżeniu skryptu, czy warto także weryfikować ID sesji w cookies?
- Słyszałem coś o odświeżaniu ID sesji przy każdym załadowaniu skryptu... co mi to daje?
- Co podobny skrypt powinien jeszcze zawierać?

Czy to co planuję ma sens?
Jak już wspomniałem autoryzacją mało się zajmowałem.... proszę o uwagi, sugestie itp.

Pozdrawiam

Ten post edytował windman 8.09.2008, 12:52:03