Sigurnost sesije

• 0Niko još nije pohvalio poruku.
  Registruj se da bi pohvalio/la poruku!

Pozdrav!

Kad mi se korisnik loguje na sajt u session mu se spremi id (id iz mysql baze od korisnika)
$_SESSION['id_korisnika']=$sql['id_korisnika'];

i po tim provjeravam dali je korisnik logovan dali je administrator itd.

E sad mene zanima dali korisnici mogu promjeniti podatke spremljene u session, jer kad bi promjeno npr stavio id u session 1 imo bi pristup administraciji.

• 1Ovo se svidja korisniku: Rastafarii
  
  Registruj se da bi pohvalio/la poruku!

To se tako ne radi.
U sesiji cuvaj username i hashovan password, a onda pri svakom reloadu stranice, kroz kod proveri da li dati username i password ima admin privilegije i da li je uopste ulogovan sa dobrim user-om i password-om. Na taj nacin, iako uspe da promeni vrednosti sesije, jedino sto moze da se desi je da se izloguje.

Generalno korisniku nikada ne treba verovati, i samim tim nikada ne treba tako bitne stvari cuvati na mestima dostupne korisniku..