Session -> Cookie vs URL-Parameter

[Tom]

Hello,

Hello,

Eddi hat Dir ja schon was geschrieben. Nimmst nicht übel, sondern ernst ;-))

Der Client hat üblicherweise zwei Methoden, um Requests durchzuführen

GET   Alle für den request notwendigen Paramter müssen über die URL übergeben werden

POST  Request-Parameter werden hauptsächlich im Request-Body als Datenpärchen (Name=Wert)
        übertragen

Der Request besteht aus einem

HEAD  Enthält die sogenannten "Header"
  BODY  Enthält zusätzliche Paramter, kann auch leer sein oder fehlen

Zusätzlich können im HEAD übertragen werden

COOKIES
  AUTH-CREDENTIALS

Für die Führung einer Session eignen sich besonders gut die zusätzlichen Angaben im Header. Du kannst Sessions damit auf zwei Arten aufbauen

SESSION after AUTHENTICATE          das geht z.B. mittels Basic Auth des Apachen
  SESSION before AUTHENTICATE         das geht z.B. mit Cookies

Ob der Cookie nun nur temporär vom Browser gehalten wird, und daher nur solange wieder mitgesandt wird, bis die Browser-Instanz beendet wird, oder ob Du einen (zweiten) permanenten Cookie auf dem Client speichern lässt, der dann eine Authentifikation ermöglicht, ist Geschmackssache.

Im Wesentlichen müsste das dann so aussehen

if (isset($_COOKIE['PERM_SESSION']))

{
    session_name('PERM_SESSION');
    session_save_path(PFAD_FUER_PERMANENTE_SESSIONDATEIEN);
    session_start();

$_SESSION += get_defaults_des_Users_aus_DB ($_COOKIE['PERM_SESSION']);

}
  else
  {
    ## benutze Standard-Session-Namen
    session_start();
  }

Und den Rest kennst Du dann ja schon.
Bei Veränderung von Defaults diese in der DB speichern (als permanenter Sessionspeicher)

Das dauerhafte Verwenden einer permantenen Sessiondatei erfordert noch Diskussion.
Die Wahrscheinlichkeit der Entführung einer solchen Datei wächst mit der Dauer der Benutztung.
Man muss also zusätzliche Maßnahmen ergreifen.

Harzliche Grüße vom Berg
http://www.annerschbarrich.de

Tom