Problem mam, które nie mogą być rozwiązywalne, przedstawia się następująco:Zabezpieczanie Cookies Sesje
Mam klienta, który jest duża organizacja 1,500+ użytkowników w 7-8 różnych miejscach. Aplikacja jest aplikacją PHP zbudowaną na platformie Kohana v3.0. Organizacja znajduje się za serwerem filtrującym proxy na poziomie ISP. Każda lokalizacja ma jeden główny publiczny adres IP, który prowadzi przez serwer proxy do sieci. Każdy użytkownik ma stację roboczą Mac lub Windows wydaną przez pracodawcę.
To, czego się doświadczają, zdaje się być kolizjami plików cookie. Przykład: Jeden użytkownik loguje się na stacji roboczej, a następnie inny użytkownik loguje się z tej samej lokalizacji, z innej stacji roboczej, z tym samym systemem operacyjnym i typem przeglądarki. Drugi użytkownik otrzymuje aktywną sesję pierwszego użytkownika, otrzymując nowo wygenerowany plik cookie (token), który pasuje do pierwszego użytkownika. Wygląda na to, że jest to powiązane tylko z ciasteczką "authautologin" (ustawioną, gdy pole wyboru "zapamiętaj mnie" jest włączone na ekranie logowania), ale zachowuję moje opcje otwarte na buforowanie z serwera proxy (nie mogę udowodnić, że proxy wciąż buforuje).
Z powodu konfiguracji sieci, serwer widzi setki użytkowników logujących się z tego samego adresu IP z tym samym klientem użytkownika. Moja początkowa myśl jest taka, że sposób, w jaki Kohana v3 generuje ciasteczka, które są unikalne dla przeglądarki (agenta użytkownika), nie jest wystarczająco unikalny dla tej aplikacji świata rzeczywistego.
Czy ktoś kiedykolwiek doświadczył czegoś takiego? A jakie byłyby właściwe działania, które można by podjąć w tworzeniu plików cookie i sesji? Czy zarządzanie plikami cookie i aktywne sesje w bazie danych byłyby lepsze?
Kohana Moduły: galaretki uwierzytelniania, galaretki, a uwierzytelniania
serwera: Apache/2.2.9 (Debian) mod_fastcgi/2.4.6 mod_jk/1.2.26 PHP/5.2.6-1 + lenny8 z Suhosin łaty mod_ssl/2.2.9 OpenSSL/0.9.8g
znane przeglądarki IE 8 & 9 Firefox (OS i Win) i Safari (OS)
+1: Ostrożnie zadane pytanie - z dostępnymi szczegółami. Dobra robota. –
Zgadzam się, ale czy to nie problem z serwerem proxy, który dotyczyłby każdej usługi korzystającej z pliku cookie automatycznego logowania? –
@Pekka, która była moją myślą/frustracją w ostatnim tygodniu. Następnie, po zapytaniu ich własnego personelu IT, dowiedziałem się, że celem filtru proxy było blokowanie stron takich jak GMail, Facebook, Twitter itd. Tak więc jestem przekonany, że nie mają dostępu do stron poza sieć, w której się logują. Ta aplikacja może być bardzo dobrym rozwiązaniem, ponieważ może otrzymać plik cookie do automatycznego logowania poza siecią. – ixasilent