Version imprimable
Bonjour.
Je n'y connais rien en "session".
J'aimerai avoir un site (une petit application) sans cookies mais avec une gestion utilisateur.
C'est minimaliste.
Peut-on stocker pass(haché)/username(ou user_id) sans cookies ?
J'aimerai éviter de demander le pass à chaque page qui le nécessite.
En toute sécurité (relativement)
Et sans cookies.
Donc pas en url
Pas ajax car quand si je rafraichie la page le problème est le même.
Est-possible ?
Bonne journée
Pour les sessions, tu as soit les cookies, soit le passage par URL.
Après , tu dois pouvoir utiliser une sorte de session en BDD basé sur l'environnement de l'utilisateur, IP et navigateur (voir d'autres paramètres) par exemple.
En gros, sur chaque page, tu vérifie si l'IP et le navigateur sont pressent dans ta table session.
Si non, tu rentre génère une id unique associé à l'IP et au navigateur en php.
Si oui, tu recupère l'ID enregistré dans la table session.
Tu peux ainsi suivre l'user sans cookie. Par contre ce n'est pas fiable du tout...
Par navigateur tu veux dire le nom du navigateur ou est-ce que l'on peut cibler précisément quelque chose car en cas de personne sous vpn ca risque posé problème de suivre une ip partagée entre des milliers d'utilisateurs.
Regarde aussi de ce côté là : http://php.net/manual/fr/features.http-auth.php
Quand tu dis sans cookie, est-ce que tu exclus aussi le cookie par défaut utilisé par les sessions? Il y a bien local storage et autres systèmes accessibles par js, mais ça ne sera pas "minimaliste".Citation:
Envoyé par westernz
Je lirai le lien ce soir.
Je veux que ceux qui bannissent les sites avec cookies soient satisfait.
Même si c'est qu'un petit % de la communauté que je cible.
Et j'ai franchement très peu de changement de page nécessitant de conserver le pass.
Franchement, le pourcentage de personne refusant les cookies doit être extrêmement faible, surtout maintenant avec la navigation privé qui nettoie tout à la fin de la navigation.
En plus de te compliquer la vie, tu va perdre en fiabilité et en sécurité, avec des risques de "vol de session" à la clé, je doute que ça en vaille la peine.
La solution serait ajax je pense.
Ca permet de rester sur la page tout en prenant en compte les modification sans recharger l'url.
A mon souvenir en tout cas...
Je n'ai qu'une page qui nécessite un pass, le reste du site est passif (pas d'action, que de la lecture).
Salut,
Je rejoins l'avis de Geoffrey74, ceux qui veulent se protéger utilisent la plupart du temps les sessions de navigation privées disponibles dans leur navigateur et qui nettoient tout quand on quitte le site. Donc pas de souci pour les cookie de session.
D'ailleurs les logiciels anti pub/pistage laissent également tous passer les cookie de session, car c'est la sécurité de l'authentification qui est en question sinon un identifiant de session passé dans l'url serait très vulnérable. Mais cela n'empêche pas ces logiciels de bloquer les cookie espion.
Pour résumer laisses plutôt les visiteurs utiliser les niveaux de confidentialité qu'ils veulent avec les outils qu'ils veulent. Aucun système (ni aucun visiteur qui sait ce qu'il fait) ne bloquera les cookies de session ce qui te permet de faire une authentification classique et sécurisée et qui le sera encore plus si tu utilises https (empêchant ainsi la possibilité de pirater l'identifiant de session).