🚀 go-pugleaf

ant pisze:
> Peter wrote:
>>> Sprawdź też czy:
>>> "Wrong: Do not enable PHP's  session.auto_start setting."
>>> "Wrong: Do not use PHP's session_start() function directly."
>> Mam sprawdzić czy podane ustawienia nie są przypadkiem ustawione?
> 
> Tak. Generalnie doprowadź do tego, żeby nic Zendowi nie
> przeszkadzało w inicjalizacji sesji.

Muszę popatrzeć jeszcze w ustawienia. Upewnię się, że nic mu nie 
przeszkadza.

> No i zobacz źródło:
> http://framework.zend.com/svn/framework/standard/trunk/library/Zend/Session.php
> 
> tam są takie ciekawostki jak:
>         'cookie_lifetime'           => null,
>         'cookie_path'               => null,
>         'cookie_domain'             => null,
>         'cookie_secure'             => null,
>         'cookie_httponly'           => null,
>         'use_cookies'               => null,
>         'use_only_cookies'          => 'on',
> 
> myślę, że coś w okolicach use_cookies i use_only_cookies...

Te parametry to jedno, ale pewnie inne jeszcze muszę też ustawić, bo 
samo ustawienie use_cookies i use_only_cookies to za mało.

> zresztą jest to też opisane w linku, który przytoczyłeś.

> Ustawiasz use_cookies w konfigu?

Zależy o jakim konfigu myślisz. Generalnie ustawiam opcje dla sesji w 
Zendzie, a konkretnie w bootstrapie:

Zend_Session::setOptions(array(
	tutaj opcje
));

> Rozumiem, że chcesz aby bez cookies id sesji leciało w URL?

Innego wyjścia nie widzę / nie znam.

> Pytanie jest, czy aby na pewno na tym Ci zależy?
> 
> http://www.theregister.co.uk/2008/09/29/sessionid_protection/

Ten artykuł zwraca uwagę na pewne ryzyko, ale jest też tam zdanie "Even 
though these problems are easy to identify and relatively easy to fix, 
many web applications still have them.".

A więc da się niejako zadbać o bezpieczeństwo, tylko trzeba wiedzieć jak ;-)

-- 
Peter