Cookies php

c'est ce que j'ai pu sentir mm si je suis pas expert en php en voyant qu'on peut changer les valeurs de cookies avec des navigateurs le resultat au niveau securite sera terrible.
je vous remercie pour le conseil.

crdlt, john travolta

salut
" $_COOKIE['...'] = '...' " je m'excuse d'avoir mal exposer l'idée je voulais dire est-ce fiable d'avoir 'sarko' comme valeur dans un cookie.

je stocke un cookie nomé user et ensuit je m'en sert pour modifer des donnée le statu de ce user peut etre un simple user ou bien admin de l'application alors si un simple user se connecte à l'application pour modifier les donnée comme un admin il suffit d'aller et ajouter le pseudo d'un admin comme nouvelle valeur de ce cookie pour faire.

alors est ce qu'il faut pas cripter cette valeur avant de l'ajouter dans un cookie.

ex:

if(isset($_POST['user']))
{
$user=md5($_POST['user']);
set_cookie("user",$user,time()+60*60,"/");
}

ou bien suffit de faire :

if(isset($_POST['user']))
{
set_cookie("user",$_POST['user'],time()+60*60,"/");
}

crdlt,

MD5 est un algorithme pour hasher, pas pour crypter.
Utiliser le MD5 ne sera pas plus sécurisé : l'utilisateur aussi peut hasher le nom d'un administrateur et modifier le cookie.

Il faut utiliser les sessions dans ce cas.

As-tu allégé ton code avant de nous le coller ici ?
Si non, ton système me paraît très peu sécurisé.

à part quelques fonctions qui rapportent quelque données non rien d'allégé.

je vais refaire mon code en passant par les sessions ce sera mieux.

merci bcp avion-f16 et neliel.

Donc, avec ton code, il suffit de mettre l'identifiant de qui on veut pour se connecter à son compte ?

avec un mot de pass biensur

y a aussi un champ password qui sera verrifié et validé à partir d'une base de données.

mais le probleme c'est le username stocké dans les cookies peut etre changer par exmple avec opera on peut changer les valeurs de ces cookies donc si quelqu'un se connect avec un username=user il peut ensuite aller le changer et mettre username=admin puis gérer l'application en tand qu'admin. puisque le cookie sera lisible tout simplement.

"De plus, session_start() doit se situer toujours avant header()"
Je viens de tester, ça fonctionne avec d'abord header() puis session_start().
Et c'est $_SESSION et pas $_session

À part ça, tout est correct.
Petite information suppl. : Une fois déclarée, la variable de session est accessible via toutes les pages, sans la déclarer dans toutes ses pages.
Donc si tu déclares $_SESSION['username'] dans login.php, la variable sera disponible sur toutes les pages sans déclaration (juste le session_start).
Comme les cookies en résumé ...

Merci pour l'info