Discussion :

[Amnael]

Bonjour, bonsoir,


ma question peut vous paraître bête, mais sans plus de renseignement je préfère venir demander un état de l'art tout simplement.


Je dev ce que l'on pourrait apparenter à un mini framework php maison. C'est pas un taff d'entreprise, c'est juste pour faciliter mes devs perso à travers une structure que je connaîtrais sans avoir besoin de me replonger dans de la doc...bref passons.

J'en suis arrivé à l'étape de gestion de l'authentification, j'avais commencé à faire mon dev en mettant des sessions_start....et puis j'ai pris un peu de recul et j'ai repensé aux derniers sites que j'ai été amené à traiter, que ce soit sur Symfony ou des frameworks internes d'entreprises. Je n'ai jamais croisé de sessions dans ces framework (elles y sont peut-être, mais je ne les ai pas vu).


D'où ma question, aujourd'hui, si on veut gérer une authentification, existe-t-il un autre mécanisme que les sessions ? Quelque chose de plus sûr ? Plus propre niveau code ?

[CinePhil]

La session étant enregistrée sur le serveur a un endroit non directement accessible, je ne vois pas pourquoi elle ne serait pas sûre.

[grunk]

La session étant enregistrée sur le serveur a un endroit non directement accessible, je ne vois pas pourquoi elle ne serait pas sûre.

Le risque principale avec les session c'est le vol de l'id de session qui permet alors de se faire passer pour un utilisateur que l'on est pas.
Le mechanisme interne à php est sûr , ce que le développeur en fait ensuite pas forcément.

Voir cette réponse pour les démarches permettant d'avoir une utilisation sûre des sessions.

Je n'ai jamais croisé de sessions dans ces framework (elles y sont peut-être, mais je ne les ai pas vu).

Dans les gros framework, d'une part l'authentification est rarement gérée de base (c'est souvent faire par un bundle/package/plugin/nom-a-la-mode) et d'autre part le stockage se fait souvent en base de données avec en plus un "wrapper" qui abstrait complètement la notion de session de PHP (mais elle sont toujours là).
Une des raisons principales à celà c'est les applications qui fonctionnent sur plusieurs serveur en même temps (chaque serveur ne peut avoir les session sur son propre filesystem).