تفاوت سشن و کوکی

[m.m.m5651]

سلام.
من این لینک رو خوندم دستش درد نکنه neopersia ولی میخواستم بدونم امنیت سشن بهتره یا کوکی؟ ممنون.

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

[eAmin]

شما مطمئن هستید که اون تاپیک رو کامل مطالعه کردید؟

کوکی ها تا زمانی که باطل نشده باشن زنده میمونن که طول عمرشون رو هم همون موقع که ست میشن میشه تعیین کرد. برای ذخیره تنظیماتی که حیاتی نیستن و باید طی مدت طولانی (بیشتر از یک جلسه) تو مرورگر باقی بمونن میشه از کوکی استفاده کرد

بله و خیر! خیلی جاها میتونن ولی خیلی جاها نباید جانشین هم بشن! اینا ابزارهایی هستن که دست برنامه نویسه که تصمیم بگیره از هر کدوم چه استفاده ای بکنه. در کل ذخیره اطلاعات خصوصی در کوکی ها مشکل امنیتی داره. از طرفی با توجه به اینکه سشنها در هر بازدید ریست میشن و در بازدید بعدی باید از اول پر بشن و احیانا تنظیمات رو دوباره از دیتابیس بخونن اما طول عمر کوکی ها رو میشه بدون کوچکترین تأثیری روی سرور به مقدار دلخواه تنظیم کرد باعث میشه که کوکی ها محل خوبی برای ذخیره یک تنظیمات معمولی و درازمدت کاربر باشن

[m.m.m5651]

سلام. من اگر بخوام از کوکی ها استفاده کنم در سیستمم، اونوقت کاربر ها میتونن همین طوری از خودشون یه کوکی با اسم مثلا administrator درست کنن و به بخش های مدیریت سایت برن؟
ممنون میشم کمک کنین.

[eAmin]

بستگی به این داره که شما چطور و برای چه کاری از کوکیها استفاده کنید.
اگر بخواید سیستم کاربری کامل مبتنی بر کوکی بنویسید، در کل میشه گفت بله... شما هر چه قدر هم که اطلاعات رو در کوکی بپیچونید و مثلن بخواید کار هکر رو سخت کنید، باز هم نمی تونید جلوی نفوذ هکرها رو بگیرید.

ولی همونطور که در تاپیک دیگه شما هم اشاره شد نباید اطلاعات حساس رو در کوکی ذخیره کرد. اطلاعات مهم رو می تونید در session ذخیره کنید.
البته راههایی هم برای دزدی/سوء استفاده از Session ها هم هست که چند سال پیش در راین رابطه یک بحث ایجاد شد در همین انجمن که می تونید جستجو کنید.

[m.m.m5651]

ممنون.
مثلا برای دکمه ی "مرا به خاطر بسپار" یا صفحه ای که لاگین می کنن کاربر ها درسته از کوکی استفاده کنم؟
برای خودم (Admin) چی؟
یا مثلا هر صفحه ای که از کاربر بخواد لاگین کنه و چک کنه که $_cookie['username'] ست شده یا نه، اونوقت دوباره یه دور چک کنه که نام کاربری و رمز معتبر هست یا نه امن میشه؟

---------- Post added at 07:37 PM ---------- Previous post was at 07:36 PM ----------

تو عجب دنیایی زندگی می کنیم باید خدا خدا کنیم که هکر ها با انصاف باشن

[rasool.kh]

ممنون.
مثلا برای دکمه ی "مرا به خاطر بسپار" یا صفحه ای که لاگین می کنن کاربر ها درسته از کوکی استفاده کنم؟
برای خودم (Admin) چی؟
یا مثلا هر صفحه ای که از کاربر بخواد لاگین کنه و چک کنه که $_cookie['username'] ست شده یا نه، اونوقت دوباره یه دور چک کنه که نام کاربری و رمز معتبر هست یا نه امن میشه؟

---------- Post added at 07:37 PM ---------- Previous post was at 07:36 PM ----------

تو عجب دنیایی زندگی می کنیم باید خدا خدا کنیم که هکر ها با انصاف باشن

به نطر من باید برای admin از Sessions و برای کاربران سایت از کوکی با پسورد هش شده استفاده کنید.

[m.m.m5651]

ممنون.
هش شده یعنی چی؟
یعنی در هر صفحه ببینه درسته یوزر نیم و پسورد؟ طول نمی کشه لود صفحه این طوری؟

[m.m.m5651]

من داشتم یه مطلب رو در مورد کوکی ها میخوندم به این برخوردم:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

این مدلیش رو دیگه نشنیده بودم.
این چیکار می کنه؟
لینک مطلب:

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید

[rasool.kh]

ممنون.
هش شده یعنی چی؟
یعنی در هر صفحه ببینه درسته یوزر نیم و پسورد؟ طول نمی کشه لود صفحه این طوری؟

یعنی پسوردت رو با توابعی مثل crypt و احیانا یه دونه salt کد کنی. و اون رو توی یک کوکی قرار بدی. اگه غیر از این باشه که یوزر و پسوردت چک بشه خوب هر گاگولی میتونه با یک ست کوکی تقلبی به هدفش برسه.

[m.m.m5651]

من که چیزی سر در نیوردم.
میشه یه مثال کدی بزنین؟

---------- Post added at 08:11 PM ---------- Previous post was at 08:08 PM ----------

ببینید این خوبه؟

برای مشاهده محتوا ، لطفا وارد شوید یا ثبت نام کنید