cómo implementar el manejo de sesión mejorado en PHP

Question

estoy trabajando con sesiones en PHP, y tengo diferentes aplicaciones en un solo dominio. El problema es que las cookies son específicas de un dominio y, por lo tanto, las ID de sesión se envían a cualquier página en un solo dominio. (No sé si hay una manera de hacer que las cookies funcionen de manera diferente). Entonces, las variables de sesión son visibles en todas las páginas de este dominio. Estoy tratando de implementar un gestor de sesión personalizado para superar este comportamiento, pero no estoy seguro si lo estoy pensando bien.

Quiero evitar por completo el sistema de sesión PHP, y hacer un objeto global, que almacenaría los datos de la sesión y al final del script guárdelo en la base de datos.

1. En el primer acceso me gustaría generar session_id único y crear una cookie
2. En el extremo de la secuencia de comandos o guardar datos de sesión con session_id, marcas de tiempo para inicio de sesión y último acceso, y los datos de $ _SERVER, como REMOTE_ADDR , REMOTE_PORT, HTTP_USER_AGENT.
3. En cada base de datos de chceck de acceso para session_id enviada desde el cliente, compruebe IP, puerto y agente de usuario (por seguridad) y lea los datos en la variable de sesión (si no caduca).
4. Si session_id expiró, elimínelo de la base de datos.

Esa variable de sesión se implementaría como singleton (sé que conseguiría un acoplamiento estrecho con esta clase, pero no sé si hay una mejor solución).

Estoy tratando de obtener beneficios siguientes: Variables

• Sesión invisibles en otras secuencias de comandos en el mismo servidor y mismo dominio
gestión
• encargo de la caducidad de sesión
• manera de ver las sesiones abiertas (algo como lista de usuarios en línea)

No estoy seguro de si estoy pasando por alto cualquier desventaja de esta solución. ¿Hay alguna forma mejor?

Gracias!

ACTUALIZACIÓN: i no explicaba en detalle suficiente y causó mucha confusión en este punto, por lo que quiero hacer más claro lo que estoy trabajando con: la

estoy construyendo aplicación de servidor SOA, que se desplegaría en muchos entornos diferentes. No tendrá su propio servidor web, por lo que en esos entornos podría haber otras aplicaciones PHP. Los empleados de estas compañías tendrán cuentas de usuario en esta aplicación, por lo que obtendrán una cookie con ID de sesión en esta aplicación.

Como sabemos, el servidor web que ejecuta PHP al cargar los datos de la sesión no hace diferencia (al menos por defecto) qué secuencia de comandos desde qué directorio creó la sesión. Todo lo que necesita es una ID de sesión. Esta ID de sesión se envía con cada solicitud de cliente a servidor. De sus respuestas obtuve una forma, ¿cómo podría PHP restringir las cookies para cierto directorio, pero el usuario malintencionado puede editar las cookies, ya que se almacenan en su computadora. El usuario malintencionado en mi caso puede tener acceso para escribir y ejecutar el script php en el mismo entorno, aunque no tenga acceso a mi aplicación y a su base de datos. Si crea una secuencia de comandos, podría usar Identificación de sesión desde la cookie de mi aplicación, por lo que tiene acceso para leer y editar datos de sesión en mi aplicación y obtener acceso a partes de mi aplicación, que no debería permitírsele.

Veo que habrá otras amenazas de seguridad en la implementación de la aplicación en dicho entorno, lo que busco es el mejor aislamiento que pueda hacer, y el manejo de sesiones predeterminado parece demasiado peligroso y no está diseñado para usos como este.

Así que mi pregunta es, si usted ve algo, que es menos seguro, menos flexible en mi diseño, de lo que sería con la gestión de sesión predeterminada ..

Gracias por sus respuestas, ..

Answer 1

Eche un vistazo al método session_set_save_handler en PHP.

http://php.net/manual/en/function.session-set-save-handler.php

Bueno, para ser objetivamente correcta, varias empresas utilizan el enfoque de tener manejadores de sesión personalizados para múltiples dominios, distribuidos en memoria/base de datos de respaldo manejo

Answer 2

quiero evitar por completo la sesión Sistema de sesión PHP, y crear un objeto global, que almacenaría los datos de la sesión y al final del script, guárdelo en la base de datos.

Si usted está pensando en la serialización de los objetos, ya no quiero recomiendo ya que no es una buena práctica para mantener datos seguros.

http://www.php.net/manual/en/function.session-set-save-handler.php#81761

Tenga una mirada en el ejemplo anterior, se ha dado una buena solución.

Mantenimiento de su estado en los dominios.

1. Primero se genera un identificador único.
2. Puede crear una cookie que se lea en cada acceso de página. En cada página, el cookie se envía desde el navegador al servidor.
3. También puede pasar su identificador único como parte de cada URL que genera, si desea otro enfoque en lugar de cookie.

Actualización:

1. Primero debe restringir a los usuarios a su aplicación según la dirección IP, si desea hacerlo más seguro que se puede achived través de la restricción de los usuarios crossdomain.xml.

2. que hay que buscar en el cifrado de su sesión de modo que incluso si el usuario lo divide no podía usarlo. Los datos se deben cifrar con claves privadas y descifrar usando uno público. El apretón de manos se basa en claves públicas.

Answer 3

Es necesario utilizar:

session_set_cookie_params()

http://www.php.net/manual/en/function.session-set-cookie-params.php

En particular, es necesario establecer el "camino" en cada una de sus aplicaciones web.

Answer 4

No estoy seguro de si estoy pasando por alto cualquier desventaja de esta solución. ¿Hay alguna forma mejor?

es muy complicado, y no va a funcionar, p. remote_port cambiará entre las solicitudes, remote_addr puede cambiar.

Hay al menos 2 soluciones obvias sin reinventar los trabajos de gestión de sesión manera:

1) utilizar un nombre de cookie distinta para la sesión en cada aplicación - ver session_name()

2) tienen cada aplicación en una subdirectorio diferente (por ejemplo http://example.com/app1/, http://example.com/app2/, ...) y establecer la ruta de la cookie - ver session_set_cookie_params o utilizar diverso ajuste ini para session.cookie_path

Answer 5

Si no quiere tener problemas con sesiones compartidas, puede utilizar el session_save_path función para establecer una ruta donde su aplicación guardará sus archivos de sesión. Como no será el utilizado por otras aplicaciones en el servidor, no se encontrará con problemas para compartir sesiones.

Solo una cosa: asegúrese de que la ruta en la que guarda sus archivos de sesión no sea accesible desde la web. Algo así como:

/YourAppFolder 
    /www (web accessible) 
    /libs 
    /config 
    /session (where you put your session files) 

Answer 6

Esto es lo que se puede mirar en:

• Establecer ruta de acceso y dominio de la sesión de identificación. Si el dominio es .mastergaurav.com, las cookies se enviarán de regreso a mastergaurav.com, www.mastergaurav.com, blogs.mastergaurav.com etc.
• Puede ser, en lugar de usar ID de sesión como cookie, si tiene que realmente atravesar múltiples dominios TLD -, lo convierten en una parte de la dirección URL de la aplicación completamente personalizado:
  abcd.php?<?php echo session_name(); ?>=<?php echo session_id(); ?>&domain=<your-domain>