Pomoc sesji CodeIgniter, pliki cookie nie są bezpieczne?

Question

Po prostu uczę się o sesjach i dla moich celów chcę stworzyć coś, co na każde żądanie klienta, serwer uwierzytelnia tego użytkownika, a dopiero potem wykonuje obsługę danych dla tego użytkownika.

Jednak Widziałem wiele przykładów z CodeIgniter gdzie sesja jest skonfigurowana jako sposób:

$this->load->library('session'); 

$newdata = array(
       'username' => 'johndoe', 
       'email'  => 'johndoe@some-site.com', 
       'logged_in' => TRUE 
      ); 

$this->session->set_userdata($newdata); 

Jednak nie może ktoś po prostu utworzyć plik cookie na komputerze ze wspólną nazwę użytkownika i "logged_in" oznacza true i nagle jesteś uwierzytelniony bez hasła? To wydaje mi się wadą bezpieczeństwa, ale widzę wiele takich przykładów.

Jaki jest właściwy sposób uwierzytelnienia użytkownika przy każdym żądaniu?

Answer 1

W pliku application/config/config.php instalacji codigniter możesz wybrać szyfrowanie plików cookie.

$config['sess_cookie_name'] = 'ci_session'; 
$config['sess_expiration'] = 7200; 
$config['sess_encrypt_cookie'] = TRUE; // set from false to TRUE 

Gdy to ustawienie set_userdata() i UserData() metody będą przejrzyście obsługi szyfrowania i deszyfrowania danych sesji.

Pełna lista opcji konfiguracyjnych sesji codeigniter jest na dole tej strony:

http://codeigniter.com/user_guide/libraries/sessions.html

Answer 2

Jeśli chcesz zwiększyć bezpieczeństwo, można wybrać do przechowywania danych sesji w bazie danych przez modyfikowanie następujące linie w swoim CodeIgniter config.php:

$config['sess_use_database'] = TRUE; 
$config['sess_table_name']  = 'ci_sessions'; 

Następnie wystarczy utworzyć poniższej tabeli:

CREATE TABLE IF NOT EXISTS `ci_sessions` (
    session_id varchar(40) DEFAULT '0' NOT NULL, 
    ip_address varchar(16) DEFAULT '0' NOT NULL, 
    user_agent varchar(120) NOT NULL, 
    last_activity int(10) unsigned DEFAULT 0 NOT NULL, 
    user_data text NOT NULL, 
    PRIMARY KEY (session_id), 
    KEY `last_activity_idx` (`last_activity`) 
);