php session des membres, verification Fermé

Question

Bonjour, Voila, je suis entrain de réaliser un site avec une zone membre, tout fonctionne à merveille, mais je me pose tout de même une question : mon script ne consomme t'il pas de trop? Je m'explique : à chaque ouverture de page, mon script verifie dans un premier temps si les session membre (mdp pseudo etc...) est ouverte, si elle ne le sont pas, le script renvoi une variable sur 0 qui dit comme quoi le membre n'est pas connecté, si par contre ses session sont ouverte, le script verifie sistématiquement dans la base de donnée si les session coresponde exemple : Bon la, j'ai racourci le code de la page pour pas trop vous embrouillé, le code fonctionne très bien, et si j'utilise autant de variable de session, c'est tout simplement pour ne pas avoir à récuperer le mail ou le pseudo... dans la bdd!! Moi ce que je veut savoir, c'est si il est vraiment nécessaire de verifier à chaque chargement de page dans la bdd ou si ce simple code suffit, en sachant que les session ne sont créer qu'après verification des donnée du formulaire de connection : merci de bin vouloir m'éclairé sur cette intérogation :)

pyschopathe · Answer

Tu session est en fait un fichier créé sur le disque dur du serveur, donc tu peux a priori faire confiance aux données qui y sont contenues.

Personnellement, pour vérifier les droits d'un utilisateur, je les stocke dans une variable de session au moment du login, avec les autres informations dont j'aurai besoin dans mon script. Je régénère aussi un identifiant de session à chaque fois qu'il y a changement de droits (anonyme -> connecté -> admin ) afin d'éviter une fixation de session. Je vérifie également que l'agent utilisateur ne change pas entre deux requêtes, ce qui laisserait fortement présager un vol de session.

Voilà le code ajouté en tête de tous mes fichiers :// Si la session est inactive depuis 
// 10 minutes ou plus, on la détruit.
if ( isset( $_SESSION['timestamp'] ) && $_SESSION['timestamp'] >= time() + 600 ) {
    // Détruit toutes les variables de session.
    $_SESSION = array();
    // On efface également le cookie de session.
    if ( isset( $_COOKIE[session_name()] )) {
        setcookie( session_name(), '', time()-42000, '/' );
    }
    // Finalement, on détruit la session.
    session_destroy();
} else {
    $salt = 'une_chaine';

    // Initialisation de la session.
    session_start();
    
    if ( !isset( $_SESSION['initiated'] ) ) {
        session_regenerate_id();
        $_SESSION['initiated'] == true;
    }
    // On vérifie que l'agent utilisateur ne change pas entre deux requêtes.
    if ( isset( $_SESSION['check'] ) ) {
        // Si c'est le cas, on demande à l'utilisateur de s'identifier à nouveau.
        if ( $_SESSION['check'] != md5( $_SERVER['HTTP_USER_AGENT'].$salt ) ) {
            header( 'Location: login.php' );          
        }
    } else {
        $_SESSION['check'] = md5( $_SERVER['HTTP_USER_AGENT'].$salt );
    }
    $_SESSION['timestamp'] = time();
}Ce code n'est peut-être pas parfait, mais il apporte un niveau de protection supérieur et une charge inférieure au stockage en BDD que tu utilises (qui ne protège pas contre le vol ou la fixation de session).

Ce code est inspiré des conseils trouvés ici : http://phpsec.org/projects/guide/fr/4.html

hugs-giver · Answer

Merci, réponse précise et explicite, merci!

Je vais modifier mon code de la sorte!

Je voulai savoir, le md5 sert apparement à crypté le mdp si j'ai bien compris, mais je n'en vois pas l'utilité car je suis récemment tomber sur un site qui décodé les mots de passe md5 à la volée, je pourrait plus te donner l'adresse, mais bon, md5, j'ai pas l'impreesion que sa sert à grand chose, peut être faudrait-il créer sont propre algorythme dans se cas?

Ensuite, je voudrai comprendre à quoi sert le "$_SESSION['check']", tu y met quoi dedan le md5 c'est ça? $_SERVER['HTTP_USER_AGENT'] prend en mémoire le md5 également? La session timestamp ne suffit elle pas?


Dernière questions :) sur mon serveur les session durent 30 minutes, c'est de trop, 10 minutes c'est plus sur?

Merci encors de m'éclairé sur tout ça :)

hugs-giver · Answer

Tes réponses sont vraiment bien formulé, c'est super simpa de m'aider, maintenant je comprend mieu, enfin, je pense avoir tout compris, ou presque... Le fameux $salt, en fait, c'est toi qui le défini plus haut c'est ça? Et si oui, il ne change pas entre deux utilisateurs, c'est toujours le même, par exemple, tu met qq part dans ton fichier de configuration un : Si c'est ça, j'ai tout compris, sinon, ça serait simpa de me dire d'ou il vient, car sur le net j'ai rien trouvé! Et pour les durées des sessions, je laisserai les 30 minutes par défaut car les visiteurs pourront uploader des musiques, et avec ceux qui ont le bas débit, on ne sait jamais... après, je peut aussi utiliser un algoritme perso genre C'est encore plus balèze à craqué ça non? Encore merci!

hugs-giver · Answer

merci de tes réponses, donc, je commence dans l'ordre:

Si ta variable $salt est généré aléatoirement, le visiteur va par exemple avoir ceci :

$salt = 'gerf?546354er?';
md5( $_SERVER['HTTP_USER_AGENT'].$salt ) =  $_SESSION['check'] ;

Mais si il va sur une autre page, la variable sera à nouveau généré aléatoirement, tu aura donc par exemple :
$salt = 'uneautrechaineds545534svdf';
md5( $_SERVER['HTTP_USER_AGENT'].$salt ) =  $_SESSION['check'] ;

Donc, le script renverra forcément false, c'est ça que je comprend pas, a part ça, j'ai compris ton script, il est bien pensé, c'est juste cette variable qui me pose problème!!

Ensuite, pour les fichiers, j'ai réduit la taille max à 5mo pour les musiques et 3 mo pour les photos et avatars, bien sur, les photos et les avatars uploader sont réduit grâce à la librairie gd, donc je pense que 30 minutes suffisent, il faudra que je demande à un pote qui est encors en bas débit de tester le bordel, sinon, je modifieré la durée des session pour ces pages la!

En ce qui concerne le format des fichiers, il sera réduit à jpg et jpeg pour les images et à mp3 et wmv pour les audios, je pense que cette simple verif devrait suffire point de vue sécurité!

Et vue que tu me demande, pour les droits sur les fichiers, je metterai simplement un genre de règlement avec une case à coché certifiant les droits sur le fichier, je pense que cela sera suffisant!

Pour le codage, j'utiliserai comme dans ton script avec un ptit algorythme en plus, de toutes façon, ça sera une genre de plate-forme blog, date de concert etc... truc sans donnée très importante, innutile de sécurisé de trop le script!

Je suis d'accord avec toi, en général j'apprend dans les tutos, mais des fois, pas le choix, je suis obligé de voir sur les forums!

Merci

hugs-giver · Answer

Slt, dzl pour le retard de réponse!

Pour la variable $salt, j'ai créer un code de crypté à l'aide des infos du membre, je pense que cela devrai suffire, puis comme tu dit, c'est déjà bien sécuriser coté serveur, donc ça devrait allé!!

Pour l'upload d'image, je pense que mon script est assé sécurisé, car toutes les images sont redimentionné, donc normalement, si ce n'est pas une image, un message d'erreur devrait être envoyé!
Par contre, je n'arrive à redimentionné que les images jpeg et jpg, ce qui est gif et btm etc... n'est pas pris en compte par ma fonction, mais je ne pense pas que cela pose problème car en générale, le format utilisé est le jpg!

Pour ce qui est des musiques, c'est les artistes, eu même qui metteron à disposition leurs propres compositions, et la case à coché me permet d'être sur qu'il soient averti que les musiques qui mêtent en ligne leurs appartiens, et que les droits de diffusion leurs appartient aussi!

Je pense que cela devrait suffire, car sinon, des sites comme youtube daylimotion, myspace..... serait également illégale!!

Php session des membres, verification

5 réponses

Discussions similaires