Sessions, Cookies und Alternativen

[SH_M]

Hallo,

ich versuche mit Sessions die einzelnen Seitenaufrufe unterschiedlichen Benutzen zuzuordnen. Trotz aller Versuche habe ich aber noch nicht ganz verstanden, wie diese Session-Variablen funktionieren.

Muss der Benutzer Cookies akzeptieren?
Ich glaube, ich habe auch schon einmal gelesen, dass der Browser die SessionID an die URL hängt, wenn keine Cookies erlaubt werden!?

Bieten Sessions somit immer die sichere Möglichkeit, jeden Seitenaufruf einem Benutzer zuzuordnen?

Kann man die SessionIDs auch in die access_log-Datei beim Apache schreiben lassen?

vielen dank für eure hilfe.

[Robert Bienert]

Hallo,

Sei gegrüßt!

ich versuche mit Sessions die einzelnen Seitenaufrufe unterschiedlichen Benutzen zuzuordnen. Trotz aller Versuche habe ich aber noch nicht ganz verstanden, wie diese Session-Variablen funktionieren.

Ich auch nicht, deshalb nutze ich das auch nicht; es scheint irgendwie unsicher zu sein:

Muss der Benutzer Cookies akzeptieren?
Ich glaube, ich habe auch schon einmal gelesen, dass der Browser die SessionID an die URL hängt, wenn keine Cookies erlaubt werden!?

Das kann gut sein, denn es gibt teilweise so lustige URIs mit ?SESSIONID=blablafaselsehrlangerParameter am Ende. Der Nachteil davon sind Probleme mit Bookmarks.

Bieten Sessions somit immer die sichere Möglichkeit, jeden Seitenaufruf einem Benutzer zuzuordnen?

Ich glaube nicht, denn wenn ich den Traffic zwischen Server und Client sniffe, kann ich die Session-ID lesen und mir dann die Session eines Benutzers schnappen. Das ist meistens nicht gewollt.

Kann man die SessionIDs auch in die access_log-Datei beim Apache schreiben lassen?

Wenns per URI ist, dann steht das auf jeden Fall in der access_log, denn der Apache protokolliert auch GET-Parameter mit.

vielen dank für eure hilfe.

HTH, Robert

[Andreas-Lindig]

Hallo,

Muss der Benutzer Cookies akzeptieren?

nein.

Ich glaube, ich habe auch schon einmal gelesen, dass der Browser die SessionID an die URL hängt, wenn keine Cookies erlaubt werden!?

Der Brauser nicht, sondern in der Seite wird die Session-ID (SID) an die Links angehängt: http://mein_link.html?meineSession=3354dt2dt35fh35sr35dgr5413. Nach klicken des Links erscheint dieser Anhang natürlich auch in der Brauser-Adresszeile. Das ist von der Einstellung für session.use_trans_id in der php.ini abhängig. Außerdem hast Du, wenn Cookies abgelehnt werden immer die Konstante SID zur verfügung, die Du manuell überall anhängen kannst (Links, hidden-Formularfelder, Weiterleitungen etc.)

Bieten Sessions somit immer die sichere Möglichkeit, jeden Seitenaufruf einem Benutzer zuzuordnen?

wenn er die SID nicht manipuliert, im Grunde schon.

Gruß, Andreas