[php] Sessions nicht sicher?

[Daniel Beulshausen]

> Nur phplib zu empfehlen hilft also nicht so viel.

es lässt sich hier keine einigung finden! die sicherste variante sind
nun mal die session cookies, dank den medien sind cookies nicht gerade
beliebt.
imho sollten die browser zwischen session cookie (wird nicht
gespeichert, und ist nur für die browserinstanz gültig) und permamenten
cookies unterscheiden, welche gespeichert werden.
willst du nicht auf cookies setzen musst du wohl oder übel die
session-id mitschleifen, ob das nun an die url drangehängt wird, oder in
eine subdomain gestellt wird ist schnurzpiepegal.
ein restrisiko bleibt da immer. wenn du sämtliche referer checken willst
stehst du dumm da wenn deine user proxy's benutzen.
ein ip-check ist ebenso nonens wie ein dns-lookup und sonstige
spielchen. jeder sollte hier eine möglichkeit für sich wählen. entweder
eine sicherere mit der er user aussperren könnte, ip kontrolle, referer
überprüfung etc. oder eine minimal sichere ohne diese spielchen.

gruss
daniel

/*--
daniel beulshausen - db_(at)_phpopentracker.de
using php on windows?
http://www.mm4.de/andreas.otto/php_related/mod_php4_win32/