session_id identiques entre utilisateurs : pas normal ?

[kaescrat]

Bonjour,

Je viens de constater dans mon application qui stocke les session_id en base pour chaque utilisateur que des utilisateurs a priori différents, qui ne se connaissent pas donc d'IP différentes etc... On le même session_id.

Pensez-vous que ce soit normal ? Personne ne s'est plaint d'un quelconque problème de login ou de voir les données des autres pour le moment.

C'est vraiment bizarre. Nous avons testé de nous connecter avec le même ordinateur et le même navigateur sous deux utilisateurs différents, cela rend les deux session_id identiques, pourtant les login/mot de passe sont différents.

Sympa non ?

[transgohan]

Non tout à fait normal... La session est enregistré côté client grâce à un cookie.
Donc je vois mal comment tu pourrais avoir deux fois le même cookie pour le même site sur le même navigateur mais qui possède une valeur différente. ^^

Après pour ton souci de session_id identiques pour des postes différents... Si tu laisses PHP gérer cet id cela ne peut arriver. Donc soit tu manipules toi même les id, soit ces utilisateurs se connectent bien sur plusieurs comptes depuis le même ordinateur (et peut être en utilisant un proxy différent à chaque connexion ce qui indiquerait le changement d'IP).

[kaescrat]

Merci beaucoup pour ta réponse.

Oui, je sais qu'il est normal d'avoir le même session_id sur le même navigateur. Ce que je trouve bizarre est que des personnes de navigateurs différents aient le même.

PHP gère les session_id, nous n'y touchons pas. Par contre, il se peut que quelqu'un en interne se soit connecté aux différents comptes, une seule fois à leur création pour en vérifier le bon fonctionnement.

Donc ma seule hypothèse actuelle est que les utilisateurs récupèrent le session_id du gars en interne, car il n'y avait pas de session_destroy à la deconnexion et que les sessions sont réglées pour durer très longtemps. Mais cela sous-entend que l'on récupère sa session lorsqu'on se connecte sur un autre ordinateur, ce qui me paraît toujours aussi bizarre. Nous venons d'ajouter le session_destroy.