Discussion :

[dinozor29]

Bonjour/Bonsoir à tous,

je me pose la question suivante : Peut-on avoir confiance dans les données contenu dans $_SESSION?

Prenons un exemple simple. L'utilisateur toto se connecte, au moment de la connexion je valorise en session plusieurs variables, l'identifiant, le mot de passe encrypté, ...

Une action requiert que l'utilisateur saissise à nouveau son mot de passe (par exemple pour valider un changement dans son profil).

Est-ce que je peux me contenter de comparer le mot de passe à celui de la session, ou dois-je allé le récupérer en base?

Merci pour vos réponses.

Dinozor29

[Yoshio]

On est jamais assez prudent donc vérifie les 3

Mais de toute facon ca vaut mieux de regarder avec celui stocker dans la base de données.

[spawntux]

Dans tout les cas un man in the middle est possible essaie la technique dite du grain de sel .
et compare les passe crypter et non les pass en dure .