Inlogging uten cookies?

[Überadri]

Knoter for tiden med mitt eget CMS og bruker session for å logge inn. Men oppdaget at session id lagres som cookie, så de som har cookies slått av vil ikke kunne logge inn. Vil ikke sende session id i urlen, for den bruker jeg til andre ting , dessuten synes jeg ikke det virker så sikkert.

 

Så går det an å lage en login som fungerer uten cookies og uten å sende noe i urlen?

 

Edit: Jeg tar forresten "Nei" for ett svar, hvis det faktisk ikke er mulig

Endret 11. oktober 2008 av Überadri

[Runar0]

Nei, ettersom at det ikkje ville vere mulig for webserveren å skillje mellom ulike brukere uten cookies eller sessionid i url.

 

Å plasserer session id i url er like trygt som å legge den i ein cookie, og det burde vel vere mulig å kombinere det med andre bruk av get variabler.

[Crowly]

Er ikke noe problem å ha flere variabler i url og $_GET, f.eks

 

http://nett.adresse.her/index.php?test1=he...asjdfølajgfølas

 

echo $_GET['test1']; // hei

echo $_GET['test2']; // sann

echo $_GET['test3']; // montebello

 

evt print_r($_GET);

--

 

Tror ikke det er noen vei utenom cookies, session eller session id i url. Kanskje det er mulig å få til noe med å logge ip nr osv, men ip nr kan endre seg, og er ikke nødvendigvis unikt (proxy o.l)

Endret 13. oktober 2008 av Crowly

[OISNOT]

Hvis du kun bruker AJAX så kan du lagre sessionid som en javascript variabel istedenfor i cookies. Men det blir som å legge den til som parameter i GET/POST.

[Matsemann]

Cookies er ikke så ille som folk skal ha det til. Forumet her har allerede lagret kaker på din PC. Folk forbinder de med virus/spyware, men det er feil.

 

Det å ha session id i URL er idiotisk.

Om man da er inne på http://domene.tld/fil.php?sessid=23492394239 og man trykker på en lenke til min side, vil jeg kunne sjekke loggen på min server, og se "referer". Om jeg da besøker nøyaktig den adressen med samme session ID vil din side se meg som samme person.

[Überadri]

Ja, det er enda et argument for ikke å ha session id i urlen. Har skjønt at jeg kan ha flere variabler i urlen, men jeg vil ikke ha session id der bl.a. fordi det ser stygt ut

 

Er klar over at mange sider bruker cookies, men tenkte det kunne være greit å f.eks. kunne logge inn fra en internettkafe eller paranoid pceiers pc, som ikke har cookies på. Jeg hadde cookies disabled for å teste noe på siden, og da oppdaga jeg at det ikke funka å logge inn her på diskusjon.no, var nesten litt overraskende, fikk ikke noen melding eller noe, bare ble logga ut når jeg lasta en ny side.

 

Men tror jeg går for en innlogging som krever cookies ...

[qualbeen]

.htaccess? Kanksje ikke helt det du var på jakt etter?