🚀 go-pugleaf

ant pisze:
> Peter wrote:
>> Próbuję znaleźć rozwiązanie na to, aby coś, co chodzi w oparciu o Zend
>> Framework, nie wymagało włączonego cookies. Przecież może zdarzyć się
>> sytuacji, że mogą być wyłączone lub nieobsługiwane. Próbowałem ustawiać
>> parametry m.in.:
>> @ini_set('session.use_cookies', true);
>> @ini_set('session.use_only_cookies', false);
>> @ini_set('session.use_trans_sid', true);
> 
> To ma zmusić Zend'a czy też PHP do tego, by nie używał cookies? ;)

No w ramach danej aplikacji powinno :-)

>> ale to niewiele daje. W dokumentacji
>> http://framework.zend.com/manual/en/zend.session.global_session_management.html#zend.session.global_session_management.configuration_options
>> jest napisane, że "boolean use_only_cookies" ... "If this setting is not
>> enabled, an attacker can easily fix victim's session ids, using links on
>> the attacker's website, such as [...]"
>> W takim razie pytanie jak "zmusić" aplikację opartą o Zend Framework-a,
>> aby działała bez cookies? No i co z tym bezpieczeństwem wtedy?
> 
> A próbowałeś wyłączyć obsługę cookies w przeglądarce?

Inaczej bym nie pytał ;-)

> Co z bezpieczeństwem? Zacytowałeś nawet jeden z istotnych szczegółów
> ze strony dokumentacji. Wyłączysz cookies, to gdzie się pojawi session
> id?

Teoretycznie sesja powinna być przekazywana przez URL. Problem w tym, że 
nie jest.

Trochę to dziwne kiedy coś nie może działać bez cookies.

> Sprawdź też czy:
> "Wrong: Do not enable PHP's  session.auto_start setting."
> "Wrong: Do not use PHP's session_start() function directly."

Mam sprawdzić czy podane ustawienia nie są przypadkiem ustawione?

-- 
Peter