0

Estou desenvolvendo uma aplicação em php e na parte de autenticação tenho o seguinte código :

    public function chamaApi(){
        // chamada na api via curl  
        $profile = json_decode($response);

        if($profile->error != true){
           self::openSession($profile->data->api_key);
        }
    }

$profile obtém o resultado retornado pela API, (ID do usuário que fez login, token de acesso da api, nome e email).

public function openSession($profile){
   $_SESSION['profile'] = $profile;
}

Minha dúvida é se há algum problema em gerenciar a session utilizando o token de acesso da API (único para cada usuário). E se existir algum problema, qual seria a melhor forma de gerenciar a session para segurança da aplicação?

PS: não uso framework!

1 Resposta 1

2

Cara, se o valor do token não está visível no cookie, então não tem problema. Como esse valor está salvo no server-side, o usuário não tem acesso e consequentemente não é um problema.

No modo padrão de autenticação, geralmente colocamos o id do usuário diretamente dentro da sessão, ele sozinho é capaz de dar acesso a tudo que aquele específico usuário pode fazer.

A mesma coisa aconteceria com esse token, a diferença é que ao invés de um id, você está usando uma sequência de caracteres aleatória que conecta com a API.

O mais importante mesmo é que você esteja trabalhando esse gerenciamento de sessão da forma mais segura possível, evitando session hijacking, etc. Porque isso sim pode ser um problema.

De uma forma muito comum, uma extensão pode pegar o valor do cookie e passar pra outro usuário, e ele pode setar o cookie diretamente no site e ter acesso a aquilo que o usuário estava acessando de outra máquina.


Se você estiver trabalhando com o Composer na sua aplicação, eu recomendo que conheça o componente HttpFoundation do Symfony. Ele tem várias utilidades para lidar com requisições, etc, mas o que vejo de mais foda nele é o gerenciamento de sessões. É o mesmo usado no Framework em si e é muito seguro e simples de usar.

PS: você não precisa usar o framework completo para usar esse componente.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .