🚀 go-pugleaf

Dnia Sat, 26 Sep 2015 12:10:51 +0200, PawelS cbrbob(at)wbcd(dot)pl
napisał(a):

>> Rozpoznaje się czy dostęp do danych jest autoryzowany, a nie czy
>> użytkownik klikną, wkleił, wpisał prawą ręką czy lewą ;-)
> Jeden z nas chyba nie rozumie działania powyższej funkcji,
> a raczej moim zdaniem powyższa funkcja nie pomoże
> w rozwiązaniu problemu o którym mowa.

Przepisanie aplikacji na PJAX też w niczym nie pomoże.

Nie do końca rozumiem opis problemu autora, są dwie możliwości:
1) audytorzy są idiotami
2) identyfikator sesji jest przekazywany w URL

Na pierwszy przypadek za wiele zaradzić nie można. Jeśli faktycznie chcemy
uzyskać sytuację, że nawet po uwierzytelnieniu nie da się otworzyć tej
samej strony w dwóch kartach przeglądarki, to zostają chyba tylko jakieś
tokeny jednorazowe.

A drugi przypadek to klasyczne session fixation, czemu bardzo łatwo
zaradzić - identyfikator do ciacha i generować go od nowa przy każdym
logowaniu.

-- 
Borys Pogoreło
borys(#)leszno,edu,pl