[inzinz]

[Le Inc]

Küss sessioonide turvalisuse koha pealt. Teoreetiliselt kui keegi kurjam saab sessiooni küpsise kätte, kus on parool, kasutajanimi jms. kirjas, siis ainuke võimalus selle "infoga" sisse logida on sööta php kuidagi varastatud küpsis ette. Kui mul on php.ini failis session.use_trans_sid = 0 ehk läbi URL ei ole võimalik midagi sisestada sisi põhimõtteliselt oleks asi nigu turvaline? Juhul kui parooli välja ei nuhita ...

Teine mis ma tähele olen pannud et paljud saidid kasutavad üsna pikki sessiooni nimesid (php on max. 40 hash) üle 100 märgi. On sellel pikkusel mingit pointi? Ühesuguse failinime sattumine on suht-koht väike nii või naa.

[mikk36]

Le Inc, sessiooni küpsises on vaid sessiooni id kirjas, parool jne info istub serveris ja sealt neid kätte ei saaks muudmoodi kui läbi sinu programmi miskise turvaaugu.

[Le Inc]

Selge. Siis pole id hash'i pikkuses erilist vahet.

[blinx]

Ma olen küll t2ielik php v6hik aga mulle 6petati, et k6ik skriptid jooksevad sama kasutaja all. st. k6iki faile mis teed v6ib keegi teine lugeda alati.
Ma ei saa aru kas htaccess ei piira ainult yle veebi failide k2ttesaadavust. Skriptid ju ikka loevad neid faile.

[iceincube]

htaccessiga saab piirata jah vaid üle http accessides faile.
Serveri sees saada teha mida tahad/lastakse.