Sesiones seguras php

[patilanz]

Hola se que las sesiones se pueden manipular pero no se como ni como se evita. Si tengo un codigo para comprobar sesion iniciada asi:

Código PHP:

if($_SESSION['user']==''){print 'No sesion';}
 

Seria seguro???

Si no es seguro donde fallo y que debo hacer para solucionar lo ?

Saludos

[kike00]

Las sesiones no son manipulables, ya que residen en el servidor. Lo que son manipulable son las variables $_POST y $_GET, ya que se pueden asignar su valores desde el cliente (navegador).

[miguec04]

Para validar si existe y esta llena es mejor usar empty

http://php.net/manual/es/function.empty.php

[Italico76]

if (!isset($_SESSION['user']))
// no hay session


Ojo: sino chequea con isset te puede explotar en la cara

[patilanz]

Hola a todos

kike00 si reciden en el servidor su funcionamiento funciona asi? :

1- El cliente crea una peticion hacia el servidor y este crea la sesion.

2- El cliente crea otra peticion y el servidor utiliza la sesion que tiene designada a la ip del cliente.

O sea que el servidor sabe que sesion a quien se corresponde por la ip? Ya que si no es el cliente quien los envia el servidor tiene que identificarlos de alguna manera ?

miguec04 y italico76 es mejor empty o isset. Yo creo que isset pero pregunto por si acaso.

Saludos

[Triby]

isset() sirve para saber si una variable está definida, sin importar el valor que pueda contener
empty() devuelve verdadero cuando:
- La variable no está definida
- Sí está definida pero el valor es NULL, false, 0, cadena vacía, etc.

[Italico76]

La explicacion de Triby es la correcta, ahora... cual te sirve mejor ?

Es posible asignes a un usuario ID=0 / ID=NULL / ID=False / ID='' ? ahi la respuesta!


Creeria que no... pero isset() es la menos riesgosa

[patilanz]

Ok entonces quedamos con que las sesiones son muy seguras y no se pueden aveariguarar o manipular.

[Italico76]

Es mejor vea Ud que le conviene, el tema es un poco mas complejo de lo que recordaba (que pena!)

Considerandos:

1) Es cierto que podria provenir un id=0 de una base de datos aunque no es lo mas comun porque los id autoincrementales empiezan de 1

2) Siempre hay definido un id ($_SESSION['id']=0) en variables de session

En el siguiente codigo de pruebas que le prepare, si el ID=0 y fuera eso correcto (asi estuviera en la DB)..vea que pasa:

Ingreso con isset()
array (size=1)
'id' => int 0

Acceso denegado con !empty()

Código PHP:

  <?php
session_start();

/*
   Investigar:

   caso 1) session : [undefined]
   caso 2) session : id=0
   caso 3) session : id>0
*/

$_SESSION['id']=0;


if (isset($_SESSION['id'])){
   echo 'Ingreso con isset()';
   var_dump($_SESSION);
}else
   echo 'Acceso denegado con isset()';


if (!empty($_SESSION['id'])){
   echo 'Ingreso con !empty()';
   var_dump($_SESSION);
}else
   echo 'Acceso denegado con !empty()';   

[patilanz]

Iniciado por Italico76

Es mejor vea Ud que le conviene, el tema es un poco mas complejo de lo que recordaba (que pena!)

Considerandos:

1) Es cierto que podria provenir un id=0 de una base de datos aunque no es lo mas comun porque los id autoincrementales empiezan de 1

2) Siempre hay definido un id ($_SESSION['id']=0) en variables de session

En el siguiente codigo de pruebas que le prepare, si el ID=0 y fuera eso correcto (asi estuviera en la DB)..vea que pasa:

Código PHP:

  <?php 
session_start(); 
 
/* 
   Investigar: 
 
   caso 1) session : [undefined] 
   caso 2) session : id=0 
   caso 3) session : id>0 
*/ 
 
$_SESSION['id']=0; 
 
 
if (isset($_SESSION['id'])){ 
   echo 'Ingreso con isset()'; 
   var_dump($_SESSION); 
}else 
   echo 'Acceso denegado con isset()'; 
 
 
if (!empty($_SESSION['id'])){ 
   echo 'Ingreso con !empty()'; 
   var_dump($_SESSION); 
}else 
   echo 'Acceso denegado con !empty()';   

Hola es cierto. Quedamos con isset() aunque si la base comienza por 1 seria mas facil usar empty() ya que es mas facil asignar a la session un 0 en vez de borrar la.