Aiuto sessione CodeIgniter, i cookie non sono sicuri?

Question

Sto solo imparando a conoscere le sessioni e, per i miei scopi, voglio creare qualcosa che su ogni richiesta del client, il server autentica quell'utente, e solo allora esegue la gestione dei dati per quell'utente.

Tuttavia, ho visto un sacco di esempi con CodeIgniter in cui la sessione è impostato come in tal modo:

$this->load->library('session'); 

$newdata = array(
       'username' => 'johndoe', 
       'email'  => 'johndoe@some-site.com', 
       'logged_in' => TRUE 
      ); 

$this->session->set_userdata($newdata); 

Tuttavia, non poteva qualcuno solo creare un cookie sul proprio computer con un nome utente comune e la lo stato 'logged_in' è true, e improvvisamente sei autenticato senza password? Questo mi sembra un difetto di sicurezza, ma vedo così tanti esempi come questo.

Qual è il modo corretto di autenticare l'utente per ogni richiesta?

Answer 1

Nel file application/config/config.php dell'installazione di codificatore, è possibile scegliere di crittografare i cookie.

$config['sess_cookie_name'] = 'ci_session'; 
$config['sess_expiration'] = 7200; 
$config['sess_encrypt_cookie'] = TRUE; // set from false to TRUE 

Una volta impostata la set_userdata() e datiutente() metodi in modo trasparente di gestire codificare e decodificare i dati di sessione.

Una lista completa delle opzioni di configurazione di sessione codeigniter è in fondo a questa pagina:

http://codeigniter.com/user_guide/libraries/sessions.html

Answer 2

se si desidera una maggiore sicurezza, è possibile scegliere di memorizzare i dati di sessione nel database modificando il seguendo le linee all'interno del vostro CodeIgniter config.php:

$config['sess_use_database'] = TRUE; 
$config['sess_table_name']  = 'ci_sessions'; 

Quindi, è sufficiente creare la seguente tabella:

CREATE TABLE IF NOT EXISTS `ci_sessions` (
    session_id varchar(40) DEFAULT '0' NOT NULL, 
    ip_address varchar(16) DEFAULT '0' NOT NULL, 
    user_agent varchar(120) NOT NULL, 
    last_activity int(10) unsigned DEFAULT 0 NOT NULL, 
    user_data text NOT NULL, 
    PRIMARY KEY (session_id), 
    KEY `last_activity_idx` (`last_activity`) 
);