Sicherheit, Objekt serialisieren und in $_SESSION speichern

davewood

User loggt ein.
UserDaten(inklusive seiner Rechte auf der Website) werden von Datenbank geladen.
User wird serialisiert und serialisierte Daten in $_SESSION gespeichert

stellt obige Vorgehensweise ein Sicherheitsrisiko dar?

david

rck

Bis hier her sehe ich noch kein Risiko. Es kommt darauf an, was Du dann damit machst. Die Frage ist auch, wieso Du die Daten serialisieren willst (=serialize() aufrufen), bevor Du sie in $_SESSION[] tust. Der andere Weg, Dinge in die Datenbank "hineinzuserialisieren" ist imho ebenfalls seltsam, weil Du Dich damit im Normalfall der Funktionen einer relationalen Datenbank beraubst.

davewood

naja solange der user eingeloggt ist wird dauernd auf das objekt User zugegriffen und damit ich es nicht bei jedem seitenaufruf neu erstellen muss, dachte ich beim ersten mal wird es erstellt und in einer session variable serialisiert abgespeichert und damit arbeite ich dann. nicht klug?

david

ps:

pseudo code

Code

if (login(username, password) {
   $u = new User(username); //holt restliche daten von datenbank
   $_SESSION['SERIALIZED_USER'] = serialize($u);
}

oder so

Chris

naja, soweit ich mich erinnern kann, ist der serialize($u) -aufruf garnicht nötig.
wenn du einfach das user-object in der session abspeicherst, sollte das von php auomatisch serialisiert werden.

und.. naja, security-bedenken seh ich nur insofern, dass diese user-objekte dann beim default session handler unverschlüsselt auf der platte gespeichert werden. wenn also dein server in "feindlicher" hand ist, könnte das ein möglicher angriffspunkt sein.

lg, chris

davewood

Jo hab ich vor kurzem auch gelesen dass im Prinzip die Daten einer Session serialisiert abgelegt werden, hab ich aber zu dem Zeitpunkt des Schreibens noch nicht gewusst.

david

bosie

nein nicht gut.
speichere nur die userid in der session ab, das objekt solltest jedesmal neu erstellen. einfach deswegen weil wenn du die db änderst oder ähnliches, ist deine session im arsch und deine applikation wirds wahrscheinlich ordentlich abreissen

davewood

wos? Macht wenig Sinn was du da sagst, aber momentan erstelle ich das Objekt eh jedesmal neu weil wenn ich das Objekt direkt in einer SESSION Variable speichere (also ohne serialize/unserialize) dann bekomm ich nen Fehler (Irgendwas mit INCOMPLETE OBJECT blabla) wenn ich eine Methode des Objekts aufrufe.

david

bosie

ne, macht viel sinn.
speicher die id

$_SESSION['user_id'] = 10;

und erstell dir daraus dein objekt

$user = new User($_SESSION['user_id']);

grund dafür ist ganz einfach:
wenn du dein objekt/klasse veränderst, bekommst probleme.
zb: du releast deine neue version. jeder user der bereits eine session hat, hat ab dem zeitpunkt wo du es hochlädst, probleme...

nicht klar?

davewood

Naja das is schon klar aber dafür gibts doch elegantere Methoden, irgendein force reconstruct Dingens eingebaut aber das ist nicht so notwendig.

Denk mir nur dass das doch Performance braucht wenn man dauernd das Objekt neu macht oder?

Im Prinzip kann es mir wurscht sein funktionieren muss es =)

Danke für den Input

David

bosie

Zitat von davewood

Naja das is schon klar aber dafür gibts doch elegantere Methoden, irgendein force reconstruct Dingens eingebaut aber das ist nicht so notwendig.
Denk mir nur dass das doch Performance braucht wenn man dauernd das Objekt neu macht oder?
Im Prinzip kann es mir wurscht sein funktionieren muss es =)
Danke für den Input

bitte was is ein force reconstruct dingens?

um zu deiner anfangsfrage zurückzukommen:
was machst wenn du die daten vom user änderst, während er eingeloggt ist?
das stellt ein sicherheitsrisiko dar, denn du könntest ja den user nicht mehr sperren, solang er drinnen ist...

davewood

Na irgendwas halt dass die neu Erstellung der Objekte forciert. Klarerweise muss es auch zur Laufzeit gehen. Aber wie gesagt es ist nicht so kritisch und wenn was unvorhergesehenes passiert dreh ich den Usern den Server einfach ab

david

Jetzt mitmachen!