3

Gostaria de saber alguns pontos importantes na hora de fazer um sistema de login:

Sessions x Cookies

  • Qual o mais indicado em questões de segurança?
  • Qual usa menos recursos do servidor? (caso em uma aplicação grande)
  • Qual o mais rápido?

E outras dicas importantes para um sistema mais eficiente.

1 Resposta 1

5

Em questões de segurança: Session ganha, pois os cookies são arquivos de textos salvos no computador cliente, logo, podem ser manipulados.

Porém, para evitar manipulações da session, você deve especificar algumas configurações se segurança (para mais informações leia a página do PHP sobre Sessions and security, que ajudarão a prevenir Session Hijacking e Session Fixation:

    ini_set('session.gc_maxlifetime', ($timeout * 60)); // tempo máximo da seção em segundos
    ini_set('session.use_strict_mode', true); // aceitar apenas sessões criadas pelo módulo session
    ini_set('session.use_cookies', true); // usar junto com use_only_cookies
    ini_set('session.use_only_cookies', true); // cookies gerados apenas pelo proprio usuário
    ini_set('session.cookie_httponly', true); // cookies só acessíveis por HTTP (não JS)
    ini_set('session.cookie_secure', true); // cookies só acessíveis por HTTPS
    ini_set('session.hash_function', 'sha512'); // criptografa session: dificulta Session Hijacking       
    ini_set('session.use_trans_sid', false); // suporte a SID transparente desabilitado
    ini_set('session.referer_check', 'https://www.seusite.com.br'); // checa o referer
    ini_set('session.cache_limiter', 'nocache'); // não fazer cache
    session_regenerate_id(); // renova ID da seção
    session_start(); // IMPORTANTE: ao final dos comandos acima

O ideal, por questões de segurança, é que utilize HTTPS para tudo, porém, caso você não tenha HTTPS disponível em seu servidor php, terá que setar:

ini_set('session.cookie_secure', false);

Qual usa menos recursos do servidor: Cookies, podem ser manipulados apenas pelo computador do cliente através de Javascript.

Qual o mais rápido: Cookies, pois não precisam realizar requisições ao servidor.

Considerações finais: Utilize SESSION para guardar os dados que forem confidenciais e COOKIES para os demais dados.

NOTA: Já está disponível o recurso storage para JAVASCRIPT, melhor e mais rápido que os cookies.

sessionStorage = dados são LIMPOS quando o browser é fechado

localStorage = dados ficam armazenados por tempo indeterminado

Uso:

sessionStorage.setItem('variavel_temporaria', 'valor da variavel'); // seta valor
var conteudo = sessionStorage.getItem('variavel_temporaria'); // lê valor

localStorage.setItem('variavel_tempo_indeterminado', 'valor da variavel2'); // seta valor
var conteudo2 = localStorage.getItem('variavel_tempo_indeterminado'); // lê valor

Espero ter ajudado!

10
  • Obrigado pela resposta, clareou bastante, mas em relação à session hijacking e fixation os paramentos que você passou já resolveriam isso? Commented 6/08/2016 às 21:24
  • Sim, e para aumentar o nível de segurança, adicionei: referer_check, session.cache_limite, use_strict_mode, hash_function. Commented 6/08/2016 às 23:14
  • Opa, obrigado novamente, esses parametros do init_set e session_regenerate_id devem ser setados no início da aplicação? ou só o regenerate_id que tem que ser setado quando a sessão for criada? por exemplo, quando o login for bem sucedido Commented 6/08/2016 às 23:20
  • No início da aplicação. Commented 6/08/2016 às 23:22
  • 1
    Coloquei o session_start depois de tudo, parece que resolvou, mas ele deve ficar antes ou depois do regenerate_id? Commented 7/08/2016 às 0:25

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .