Login-Sicherheit (Sessions vs. Cookies)

[Tom]

Hello,

Da es nur ein Treffer gibt, meinst du wohl:
</archiv/2014/1/t216393/#m1483964>

Was hat ein »Wer ist online«-Feature damit zu tun, wie man grundsätzlich ein Loginsystem baut?

Du kannst Die Funktion ja einfach weglassen, wenn Du sie nicht magst.

Das ist eine zusätzliche Technik, die natürlich auf Sessions aufsetzt. Stoff für einen zweiten Artikel.

Genau. Und die ist mit einem sessionbasierten Login gar nicht möglich.

Dir scheinen die Begriffe "requestbasiert" und "sessionbasiert" Probleme zu bereiten. Die haben hier nichts damit zu tun, dass man für beide Verfahren eine Session als Basis benötigt.

"sessionbasiert":
Die authentifikation des Users findet nur einmal pro Session statt.
Ein Admin sieht nicht, wer "angemeldet" ist, da er i.d.R. die Sessionnummer eines Users nicht kennt. Die Rechte des Users werden üblicherweise auf nur einmal pro Session geprüft und haben dann über die ganze Session Bestand.

"requestbasiert":
Bei jedem Request wird der Status des Users gegengeprüft.
Das führt dann auch dazu, dass die allmeinen Rechte bei jedem Request erneut geprüft werden können. Ein Admin (oder wer auch immer) kann nun auch sehen, wer "angemeldet" ist. Das bedeutet bei HTTP ja nur, dass innerhalb einer gewissen Zeitspanne ein Request stattgefunden hat. Er kennet aber jtzt die Sessionnummer des Users und kann ihn auch jederzeit "rausschmeißen".

Ich will niemanden davon abhalten, am Wiki zu arbeiten, aber bestehende Artikel sollte man nicht verwässern, indem man sie um Infos ergänzt, die nur entfernt zum Thema gehören.

Da wird nichts verwässert. Anders ist eben anders. Selber lesen und Denken wird durch eine zweite Möglichkeit nicht ersetzt.

Ich rede Dir im Übrigen auch nicht in deine mMn sehr qualifizierten Tipps zum Thema JavaScript rein ;-P

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg