[php] Session Handling

[Ralf Eggert]

Moin Liste,

ich wollte einmal in die Runde fragen, wie ihr das mit dem Session
Handling so handhabt. Hier ein paar Aspekte:

1a) Der Session Cookie ist nur für Dauer der Sitzung gültig.

1b) Der Session Cookie ist auch nach dem Schließen des Browsers
    weiterhin gültig.

2a) Wenn der Session Cookie nicht akzeptiert wird, wird die Session ID
    an alle Links eurer Seite angehängt (IMHO großes
    Sicherheitsproblem).

2b) Wenn der Session Cookie nicht akzeptiert wird, gibt es keine
    Alternative. Zum Einloggen ist somit zwingend ein Cookie zu
    akzeptieren

3a) Jeder Besucher der Seite bekommt immer einen Session Cookie
    zugeteilt.

3b) Es werden nur Session Cookies verteilt, wenn sie wirklich notwendig
    sind. Ich nenne es mal den Ansatz der Cookie-Sparsamkeit.

Meiner Meinung nach ist eine Kombination aus 1a), 2b) und 3b) der beste
Ansatz.

Zwei Fragen hierzu:

1. Wie handhabt Ihr es mit den Sessions bei euren Projekten?

2. Ist der Ansatz der Cookie-Sparsamkeit mit dem in PHP integrierten
   Session Handling überhaupt realisierbar? Bei session_start() wird
   ja immer eine Session erstellt und ohne session_start() kann nicht
   auf $_SESSION zugegriffen werden.

3. Gibt es Einschränkungen und Probleme bei der Verwendung vom in
   PHP integrierten Session Handling, auf die man nicht unbedingt
   sofort stößt.

Freue mich auf interessante Anregungen und Erfahrungsberichte.

Gruß,

Ralf