Estou fazendo um sistema de login em PHP e gostaria de saber qual opção é mais segura: Cookies ou Sessões. Eu sei que muitos desenvolvedores não gostam de usar cookies porque estes podem ser removidos pelos usuários. Mas a minha pergunta é no quesito segurança, qual é mais seguro?
1 Resposta
Ainda assim, use sessões, os cookies além de poderem ser removidos pelos usuários, podem ser lidos por algum malware que o usuário tenha no PC. O única forma correta de usar cookies é apenas para salvar o ID da sessão para recuperar a sessão do usuário, e mesmo assim o ID da sessão deve estar criptografado de alguma forma.
-
A session cria um cookie
PHPSESSID
, basta removê-lo para perder a session. Commented 5/10/2016 às 20:49 -
Sim, mas veja, esse cookie faz exatamente o que eu disse, apenas guarda a ID da sessão, mas nenhum dado do usuário. E se o usuário escolhe apagar o cookie e perder a sessão, foi escolha dele. Commented 5/10/2016 às 20:53
-
Crio a session start e coloco essa chamada em cada página que precisa ser protegida. Faço a consulta no banco...meu maior medo é que algum usuário consiga acessar a página sem estar logado na sessão. Muito obrigado.– AugustoCommented 6/10/2016 às 0:18
-
@Augusto, se você nao setar o tempo de duraçao de um cookie, automaticamente ele sera deletado assim que o navegador for fechado e a sessao também. Da mesma forma se uma sessao for aberta e o navegador fechado. O que vc tem que se preocupar é: qual dos dois é melhor para o meu sistema? Tem usuarios que bloqueiam cookies em navegadores. Na dúvida usa a SESSION e ja era. =) mas os dois sao seguros. Pois ambos sao a "mesma coisa". Você que tera que evitar brute force.. sql inject.. etc... Commented 6/10/2016 às 2:30
-
Agradeço pela ajuda, foi muito útil para mim. Quanto SQL INJECT devo mais a frente perguntar coisas sobre segurança. Muito obrigado.– AugustoCommented 6/10/2016 às 2:58
PHPSESSID
. Crie uma sessão e rode em 2 navegadores e altere o valor doPHPSESSID
de um para outro e veja o resultado.