Új hozzászólás Aktív témák

• #29 azbest félisten dabadab #27

  Új Válasz 2009-02-09 11:32:27 #29

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  azbest

  félisten

  válasz dabadab #27 üzenetére

  szerver oldalt, ha csak bejelentkezést ellenőriz és uána mindenütt csak userid-t használ külön ellenőrzés nélkül, akkor simán megesik ilyen, ami most.

  más (random) felhasználót léptetett be, mint aki belépett, ha jól értem a hírt.

  Ha a userid mellé a belépési adatokat is tárolnák a sessionben (szerver oldalon), akkor minden egyes műveletnél ellenőrizhetnék, hogy van e joga hozzá. szerintem.

• #26 azbest félisten

  Új Válasz 2009-02-09 10:48:59 #26

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  azbest

  félisten

  Az ilyen jellegű hiba arra utal, hogy csak bejelentkezéskor ellenőrzik a felhasználó adatait?

  Mármint, hogy bejelentkezés után feltételezik, hogy a bejelentkeztetett felhasználó dolgozik. Ha valami hiba folytán megváltozik az ügyfél azonosítója, vagy esetleges bug segítségével megváltoztatják, akkor más nevében tud ügyködni, mert nincs újraellenőrizve, hogy a belépési adatok ahhoz az ügyfélhez tartoznak-e akinek a nevében dolgoznak.

  Ilyen rendszernél nem úgy illene, hogy minden egyes műveletnél újra ellenőrizzék, hogy van e hozzá joga a felhasználónak? (felhasználó és a szerver oldalon tárolt belépési adatok egyeztetése)

Új hozzászólás Aktív témák