Seguridad Session php mysql

[ameno123]

Hola, estaba programando un sistema de usuarios y vino la duda de la seguridad.

Lo que lei en otros lados era poner

Código PHP:

  $_SESSION['userid'] = "blabla";  
   

Algo así.. Pero me imagino que debe ser muy vulnerable y fácil de modificar para poder convertirte en cualquier usuario.

Con una consulta simple como esta:

Código PHP:

  $uid = $_SESSION['userid'];
$con = mysql_connect($host, $user, $pw) or die(mysql_error());
mysql_select_db($db) or die(mysql_error());
$res = mysql_query("SELECT * FROM tabla WHERE user_id = '$uid'");
$count = mysql_num_rows($res);  
   

(consulta en la BD)

A mi se me ocurrió poner:

Código PHP:

  $_SESSION['userid'] = "blabla"; //ID del user
$_SESSION['pass'] = "blablabla"; //Password del user  
   

(Cuando loguea el usuario guardar ambos datos, id y pass.)

Entonces la verificación en la BD se hacia con los dos datos escenciales para poder loguear. Peeeero me pareció medio raro que nadie lo alla puesto antes en algun foro, o no haberlo encontrado. Por eso, mi consulta es si es segura esa manera de guardar los da

[MaNuX0218]

Si ves vulnerable el solo poner: $_SESSION['userid'] = "blabla";

Si encima también guardas la contraseña, lo más logico es que se lo pones aún mas facil jejje

Y bueno para una mejor seguridad es algo que muchos se pregunta cada vez que se programa un sistema de usuarios.

Saludos.

[ameno123]

Iniciado por MaNuX0218

Si ves vulnerable el solo poner: $_SESSION['userid'] = "blabla";

Si encima también guardas la contraseña, lo más logico es que se lo pones aún mas facil jejje

Y bueno para una mejor seguridad es algo que muchos se pregunta cada vez que se programa un sistema de usuarios.

Saludos.

Perdón, no me debo haber expresado bien..

Lo que quise decir es que para verificar si el usuario esta logueado uso

Código PHP:

   $_SESSION['userid'] = "blabla";  
   

Y yo pregunto, ¿No sería mejor usar

Código PHP:

   $_SESSION['userid'] = "blabla";   
 $_SESSION['pass'] = "blablaa";  
   

Habiendo obtenido "blablaa" de lo que uso el usuario para loguearse?