Version imprimable
Bonjour,
je voudrais savoir si la variable $_COOKIE['PHPSESSID'] dépend que d'un navigateur, ou si elle est la même sur tous les navigateurs d'une même machine. Et puis aussi, quand est ce qu'elle se renouvelle? A la fermeture du navigateur?
Et puis, elle est dans le tableau des COOKIES, pas dans celui des SESSIONS, si vous devez faire un système de suivi d'un utilisateur qui passe une commande, vous utiliseriez quoi?
L'id de session peut etre géré par un cookie, c'est ce que tu nous montres. Comme tout cookie, il n'est pas commun aux navigateurs.
Cet id ne sert que dans la gestion des sessions, il n'y a pas a s'en préoccuper dans ton systeme de commande.
Quand tu ouvre une session le serveur génère un identifiant de session unique qui ne sera utilisé qu'une seule fois, et qu'il envoie au navigateur si possible dans un cookie (si les cookies sont activés dans le navigateur client). Le cookie de session et donc l'identifiant qu'il contient seront automatiquement effacés lorsque le navigateur sera entièrement fermé (toutes les fenêtres du navigateur).
Pour toute nouvelle session le processus repart de zéro.
Si une session est en cours, l'identifiant de session renvoyé du navigateur vers le serveur permet à celui-ci de connaître les variables de sessions correspondantes au navigateur qui fait la requête. Pratiquement cela se traduit sur le serveur par un fichier ayant comme nom l'identifiant de session et à l'intérieur duquel se trouvent les variables de la session. Il y aura donc sur le serveur autant de fichiers de session que de navigateurs ayant ouvert une session.
Les variables de sessions sont donc utilisées pour enregistrer des variables utilisateur tout au long de sa session.
A noter que la session peut se terminer avant la fermeture du navigateur car sa durée dépend également de variables de configuration serveur comme session.gc_maxlifetime, session.cache_expire etc. mais tu n'as pas à te préoccuper de ses valeurs pour un usage courant.
Bonjour,
je vous remercie pour ces détails. Je réfléchissais à me servir de cette variable uniquement pour avoir un identifiant de session de l'utilisateur visiteur (non connecté) afin de stocker temporairement des données en base où ce PHPSESSID permettrait de distinguer les différents utilisateurs non connectés.
Après quand ils se connectent, je pensais leur assigner des variables de sessions propres avec mon session_start(), etc... Qu'en pensez-vous?
Pourquoi vouloir passer par la base de donnée et un circuit différent ?
Ton système de session utilisateur est parfait pour un visiteur également non ?
J'ai pas dû le mentionner, c'est pour faire un panier et récapitulatif de commande :)
Je pourrais également le faire sur sessions uniquement, mais je pense que comme il était marqué dans l'un de vos tutoriels, il vaut mieux passer par une bdd.
C'est bien ce que je dis, tu n'as pas besoin de deux systèmes.
Ben oui normalement tu fais ton panier en session et dès que le visiteur valide pour commander tu enregistre le panier en bdd.
Bonjour, excusez-moi pour le retard,
ce que vous dites en utilisation les sessions est exactement ce que j'aurais fait avant et je ne serais même pas venu créer ce sujet si je n'étais pas tombé sur un article de developpez.com qui m'a mis le doute. Je vous laisse le lien et la citation de l'introduction.
http://a-pellegrini.developpez.com/t...b/?page=page_1Citation:
Les sessions créées sur un site sont enregistrées dans un dossier sur le serveur nommé par défaut /tmp. Si par mégarde le serveur venait à être mal configuré, tout le monde hébergé sur ce serveur aurait accès à ce répertoire et donc aux informations contenues dans les sessions.
Si vous utilisez une base de données pour les stocker, ce problème disparaît.
Même après avoir lu ça, je ne vois pas en quoi ce serait grave si des sessions de commandes étaient interceptées.
Mais j'imagine que ceux qui rédigent des articles savent de quoi ils parlent.
Donc, qu'en pensez-vous? L'article qui préconise les sessions+BDD est-il trop dans l'excès de sécurité?
Tout dépend de ce que contient la session et de ce qu'elle permet si elle était volée. :P
Enfin bon sur le fond on peut quand même vérifier que les fichiers de session ne sont pas gerés n'importe comment.
Si tu fais du code pour pallier une mauvaise configuration du serveur, tu n'en finiras jamais. Et ensuite quel autre script pour améliorer la sécurité du serveur de bdd ?
D'autre part, le principal inconvénient d'une session est qu'on peut éventuellement (sous certaines conditions) pirater l'identifiant de session et le principe que tu décris n'en protège pas plus.
Fais plutôt confiance à un hébergeur professionnel et si tu tiens à renforcer la sécurité de tes données utilises une connexion SSL
C'est aussi ce que je me suis dit par rapport à la sécurité de la bdd, on en finit jamais. En tout cas merci, ça répond à mes interrogations. Bonne journée ;)