Session startet...åpen for alle?

[martlo]

Hei

 

Har bare et kjapt spm. angående session.

 

En bruker logger seg inn via et form, og session startes:

 

$_SESSION['brukernavn'] = $user;
$_SESSION['passord'] = $pass;
$_SESSION['navn'] = $row['navn'];
$_SESSION['id'] = $row2['id'];
$_SESSION["access2"] = "granted2";

 

...brukeren sendes så til f.eks. admin-siden der det sjekkes at session er startet:

 

<?php
session_start();
if ($_SESSION["access2"] == "granted2") { ?>
...osv...

 

Alt dette funker fint. Men nå vil jo hvem som helst kunne gå inn på admin-siden, ettersom "access=granted", og det helt til brukeren logger seg ut og session blir drept.

Mulig jeg er for trøtt til å finne løsningen, som sikkert er åpenbar

 

Takker for hjelp!

[toss]

sessions gjelder bare for den pc'en de settes til, så når du logger inn, skal i teorien ingen andre ha tilgang..

kort forklart, siden det er sent, men håper det hjalp..

[martlo]

Ahh...

Da er det jo ikke noe problem.

 

Tusen takk for hjelpen!

[sfenne]

forestill deg at du har en kolonne i user-tabellen din i databasen som du kaller for access.

så har du forskjellige access levels, som f.eks. 0 og 1.

access levels kan du administrere fra admin-sidene, av admins med accesslevel på 1.

 

$_SESSION['access'] = '$row['access'];

 

når du logger inn kan du jo gjøre en liten sjekk;

 

if($_SESSION['access'] == "1"){

echo "du er admin"; }

elseif($_SESSION['access'] == "0"){

echo "du er en vanlig bruker"; }

 

f.eks.?

[Gilbert]

Dersom du er på et webhotell, kan det være en fare hvis du deler TMP-mappe. Der lagres blant annet sessions.

 

Dette gjør at alle dere deler webhotell med har mulighet til å "bruke" sessionene deres. Videre så er det faktisk ikke så mange flere "farer", ved mindre de har satt opp noen feil innstillinger.

Endret 4. mai 2005 av fjartan

[Torbjørn]

sessions er gjerne knyttet til cookies, og cookies er knyttet til domenenavn. du kan risikerre, som fjartan sier, at andre brukere av webhotellet, lager phpskript og gir seg selv sessions der, og at disse så blir gyldige i din phpapplikasjon