7

Como posso eu garantir que quanto um utilizador estiver ligado não permitir mais ligações com o mesmo login e password, tendo em conta que se a sessão expirar já pode permitir novamente ligações desse login e password?

Estive a ler Saber se utilizador está conectado PHP e fiquei com essa dúvida.

NOTA: Sem uso de cookies

4
  • 3
    Quero ver guardar a sessão sem cookie (até dá, mas tem que ficar passando o ID por URL). Eu acho muito mais fácil deixar logar sempre, mas a cada vez que logar, matar a sessão anterior. Muito mais simples, sem perigo de se trancar pra fora, e sem o risco de uso simultâneo. Agora, a forte impressão que eu tenho é que isso pode ter até alguma aplicação legítima, mas provavelmente serve pra tampar alguma outra falha da aplicação.
    – Largato
    Commented 7/11/2014 às 15:43
  • 1
    Sem cookie acho que só assim: stackoverflow.com/a/3643602
    – Franchesco
    Commented 7/11/2014 às 15:45
  • @Bacco gostei da ideia não queres formular uma resposta?
    – Jorge B.
    Commented 7/11/2014 às 15:53
  • 1
    @JorgeB. Pra falar a verdade se eu fosse responder ia preferir por naquela outra, primeiro pela restrição de cookies, que eu acho que não tem muito a ver com o problema, e apesar de pequenas diferenças na formulação, eu acho que no fim é a mesma questão. Na verdade eu nem teria muito o que acrescentar além do comment que eu fiz, seria basicamente aquilo. Logou, invalida o login anterior, apenas. Por exemplo, associando o ID da sessão ao ID do user. Se não bate, está deslogado. E ao logar, é feita nova associação, o que mataria a anterior.
    – Largato
    Commented 7/11/2014 às 15:56

1 Resposta 1

6

Através de um handler de sessões customizado você consegue fazer isso pois consegue executar uma rotina diferente em cada estágio da sessão: abertura, encerramento, leitura, gravação, remoção e garbaging.

Para criar um manipulador de sessão customizado usa-se a função session_set_save_handler()

O handler abaixo, baseado na MySQLi, usará uma estrutura SQL simples:

CREATE TABLE `session_data` (
  `id` varchar(32) NOT NULL,
  `data` text,
  `last_updated` timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8_unicode_ci;

O handler:

class SessionSaveHandler {

    protected $link;
    protected $table;

    protected $sessionName = 'session';
    protected $maxLifeTime = 3600;

    public function __construct( $user = null, $pass = null, $host = null, $db = null, $table = null, $sessionName = null ) {

        $this -> link = mysqli_connect( $host, $user, $pass, $db );

        if( ! $this -> link ) {
            throw new Exception( 'Could not connect to the database!' );
        }

        mysqli_select_db( $this -> link, $db );

        session_set_save_handler(

            array( $this, 'open' ),
            array( $this, 'close' ),
            array( $this, 'read' ),
            array( $this, 'write' ),
            array( $this, 'destroy' ),
            array( $this, 'gc' )
        );

        $this -> table = $table;

        session_name( $this -> sessionName );

        session_start();
    }

    public function open( $savePath, $sessionName ) {

        $this -> sessionName = $sessionName;

        return TRUE;
    }

    public function close() {
        return true;
    }

    public function read( $id ) {

        $query = sprintf(

            'SELECT `data` FROM %s WHERE `id` = ? AND UNIX_TIMESTAMP( `last_updated` ) + %d > UNIX_TIMESTAMP( NOW() )',

            $this -> table, $this -> maxLifeTime
        );

        $stmt = mysqli_prepare( $this -> link, $query );

        mysqli_stmt_bind_param( $stmt, 's', $id );

        if( mysqli_execute( $stmt ) ) {

            mysqli_stmt_bind_result( $stmt, $retval );

            mysqli_stmt_fetch( $stmt );

            if( ! empty( $retval ) ) return $retval;
        }

        return '';
    }

    public function write( $id, $data ) {

        $query = sprintf(

            'INSERT INTO %s (id, data) VALUES (?, ?) ON DUPLICATE KEY UPDATE data = ?, last_updated=NULL',

            $this -> table
        );

        $stmt = mysqli_prepare( $this -> link, $query );

        mysqli_stmt_bind_param( $stmt, 'sss', $id, $data, $data );

        return mysqli_execute( $stmt );
    }

    public function destroy( $id ) {

        $query = sprintf( 'DELETE FROM %s WHERE id = ?', $this -> table );

        $stmt = mysqli_prepare( $this -> link, $query );

        mysqli_stmt_bind_param( $stmt, 's', $id );

        return mysqli_execute( $stmt );
    }

    public function gc( $maxlifetime ) {

        $query = sprintf(
            'DELETE FROM %s WHERE UNIX_TIMESTAMP( last_updated ) + %d <= UNIX_TIMESTAMP( NOW() )',
            $this -> table, $this -> maxLifeTime
        );

        mysqli_query( $this -> link, $query );

        return;
    }
}

E seu uso:

require_once 'handler.php';

new SessionSaveHandler( 'root', '7v4h6q7t', 'localhost', 'session', 'session_data' );

$_SESSION['name'] = 'Bruno Augusto'; // write
$_SESSION['age']  = 26; // write

var_dump( $_SESSION['name'] ); // read

unset( $_SESSION['age'] );

var_dump( $_SESSION ); // proof

Esse handler genérico permite que os dados de sessão sejam gravados, lidos e manipulados num banco de dados. Ponto!

Agora, o que tange realmente o escopo do tópico é justamente customizar o comportamento. Basta, por exemplo, adicionar uma nova coluna à tabela para fazer a condição conforme o link de referência que suscitou a dúvida e modificar as queries dos métodos SessionHandler::write() e SessionHandler::read() (por segurança) para levá-la em consideração.

Dessa forma ao criar a variável de sessão, disparando assim o método SessionHandler::write() o índice só será criado caso a condição de existência se satisfaça.

E graças a ela, quando verificando se o índice da sessão existe para liberar acesso à determinada página, por sequer ter sido criado, tudo se resolve praticamente sozinho.

9
  • Eu fiz isso e está-me a dar NULL no var_dump( $_SESSION );
    – Jorge B.
    Commented 28/11/2014 às 14:46
  • Assumindo que você tenha criado o banco de dados, definido o usuário e senhas diferentes dos aleatoriamente gerados que eu usei e configurado corretamente, você vai ter de ser um pouco mais específico porque quando eu escrevi eu testei e funcionou perfeitamente. Commented 28/11/2014 às 15:19
  • Resolvi, esqueci-me de por PRIMARY KEY (id). Depois apago os comentários.
    – Jorge B.
    Commented 28/11/2014 às 16:52
  • 2
    Não faça isso. Se de repente alguém mais vier a ter o mesmo problema que você, já terá uma resposta. Commented 28/11/2014 às 17:49
  • Há qualquer coisa que não está a funcionar bem, a cada menu que vou header('Location: index.php?menu=1'); é feito o logout na página, mas fica o registo no BD.
    – Jorge B.
    Commented 1/12/2014 às 15:25

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .