Sicheres Login-Script

[Jellysheep]

Hi,
auf dieser Website erfährt man ein paar Tips, um einen Login einer Website sicher zu machen.
1. Was bringt beim Laden einer Seite dieser Code:

session_start();  
  
if (!isset($_SESSION["init"])) {  
  //Session ist neu - neue ID auf jeden Fall vergeben  
  session_regenerate_id();  
  $_SESSION["init"]=true;  
}

2. Zu dem Abschnitt "Update":
Könnte man so den genannten Zugriff von einem Hacker verhindern?

login.html:

...
<form  action="index.html" method="post">...</form>
...

index.html

<?php
start_session();
regenerate_session_id();
$_SESSION["user"]  = $_POST["user"];
$_SESSION["pass"] = $_POST["pass"];
?>
...

 

[Bratkartoffel]

Hallo,

der erste Ausschnitt erzeugt nur dann eine neue ID, falls die Session noch nicht initialisiert wurde.
Die anderen Ausschnitte erzeugen bei jedem Login eine neue ID, weshalb ich grob geschätzt sagen würde, dass das sicher ist.

Ich würde allerdings noch den Parameter bei der session_regenerate_id() setzen um die alte Session zu löschen (falls vorhaden).
session_regenerate_id() auf php.net

Gruß
BK