2

Boas,

Eu gostaria de saber qual a forma mais segura e simples de verificar se um utilizador está ligado 2x no mesmo email. Se estiver ele simplesmente cancela 1 e fica com o outro.

Como poderei realziar essa verificação?

1 Resposta 1

0

Tem várias formas de fazer isso. Uma opção delas é criar um valor em hash que é salvo no banco para uma verificação posterior. Por exemplo:

Após o usuário confirmar o e-mail e senha você abre uma sessão:

session_start();

$email = '[email protected]';

// esse é o valor gerado no após a confirmação do usuário
$valor_da_sessao = crypt($email, md5(date("d/m/Y H:i:s")));

$_SESSION['user'] = $valor_da_sessao;

// salva a sessao no banco de dados

$query = mysqli_query($conexao, "UPDATE sessao SET valor = '$valor_da_sessao' WHERE email = '$email'");

if($query){
    echo "DEU CERTO!";
    header("Location: pagina_inicial.php");
} else {
    echo "DEU ERRADO!"
}

Agora, basta você verificar, a cada ação do usuário, se a sessão utilizada por ele é a sessão original.

Assim:

session_start();

$valor_da_sessao = $_SESSION['user'];

$query = mysqli_query($conexao, "SELECT * FROM sessao WHERE valor = '$valor_da_sessao'");

if(mysqli_num_rows($query) == 0){
    /*

        ESSA SESSÃO NÃO É ORIGINAL

    */

    unset($_SESSION['user']);
    session_destroy();
}

EDIT

Após alguns comentários do @Inkeliz, me mostraram que realmente é fácil de burlar a resposta acima. Porém é fácil de ser corrigida também! Para isso, você precisa alterar a cada ação do usuário o valor da sessão e o valor do banco. Será impossível, desta forma, o mesmo usuário estar em 2 lugares ao mesmo tempo.

Assim:

session_start();

$email = '[email protected]';

if(isset($_SESSION['user'])){

    $valor_da_sessao = $_SESSION['user'];

    $query = mysqli_query($conexao, "SELECT * FROM sessao WHERE valor = '$valor_da_sessao'");

    if(mysqli_num_rows($query) == 0){

        /*

            ESSA SESSÃO NÃO É ORIGINAL

        */

        unset($_SESSION['user']);
        session_destroy();

    } else {

        /*

            ESSA SESSÃO É ORIGINAL
            CRIA UM NOVO VALOR
            SALVA NO BANCO

        */

        $valor_da_sessao = crypt($email, md5(date("d/m/Y H:i:s")));

        $_SESSION['user'] = $valor_da_sessao;

        mysqli_query($conexao, "UPDATE sessao SET valor = '$valor_da_sessao' WHERE email = '$email'");

    }

}
6
  • -1 Isso não funciona. Se o cliente clonar o cookie de identificação (PHPSESSID) ele poderá usar em infinitos aparelhos. Logo, não resolve o problema.
    – Inkeliz
    9/07/2018 às 10:02
  • @Inkeliz sinceramente. Eu pesquisei sobre "clonar" cookies e a algo mais próximo disso foi o velho ataque session hijacking. Copiei todo o diretório de arquivos do chrome no meu pc após abrir a sessão e colei no meu notebook e a sessão não estava aberta. E se for algum tipo de hack ou questão de segurança, creio eu que não é cerne da questão em si. Se você tiver algum material que possa me ajudar a aprofundar sobre isso eu agradeço. Abraço. 10/07/2018 às 17:26
  • Basta da um F12, entra no site, cópia os cookies presente no header e define eles em outro dispositivo, pode usar o Javascript. Ou, pode usar um plug-in "edit this cookie" e copiar o conteúdo, no caso o identificador da sessão.
    – Inkeliz
    10/07/2018 às 17:31
  • Seu objetivo é impedir acesso em múltiplos dispositivos. Se existe um "hack", ou considere isto um, então seu objetivo não é atingido
    – Inkeliz
    10/07/2018 às 17:34
  • 1
    Isso funcionária, se você não usar o mesmo date, já que olhar para o relógio não é aleatório e o email é previsível tambem... Você pode simplesmente usar o random_bytes, por exemplo random_bytes(32). Isso pode ser usado nos dois casos, mas no primeiro teria que ter uma referência entre o usuário e o valor aleatório. Mas, de qualquer forma, isso tem um efeito colateral... Uma pessoa com um dispositivo, mas múltiplas abas, não poderá usar. Uma pessoa pode enviar a requisição, mas falhar em receber a resposta, comum em conexões instáveis (ala Internet móvel em meio a estrada).
    – Inkeliz
    10/07/2018 às 18:10

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .