Session vs Cookie

Killa Rebell

Guten Abend,

Folgendes, es gibt Vor und Nachteile bei Sessions und Cookie's.
Die Frage ist nun Welches benutzt ihr oder findet ihr besser ?

Meine Persönlichen Erfahrungen sind, dass ich lieber Sessions benutze.
Vorteile sind Definitiv dass diese auf dem Server gespeichert werden und beim Schließen des Browserfensters Gelöscht bzw. Zerstört werden.
Ich bin mir nicht zu 100% sicher aber ich denke mal dass es somit auch Sicherer ist, gerade WEIL es auf dem Server gespeichert wird.

Desweiteren eine Frage, muss ich als Sessions Nutzer auch eine Meldung einbauen dass ich Daten Speichere ? So wie die Meldungen derzeit von Google ?
Oder ist Sessions davon noch ausgeschlossen.. ? Dass ich dies in die AGB's bzw. Datenschutzbestimmungen nennen muss ist mir bekannt.

Eure Meinung interessiert mich

FroehlicheGurke

Ich nutze auch sessions, Angaben musst Du nicht machen.

Kpoi

Wenn du eine gute Verschlüsselung benutzt, kann auch ein Cookie sicher sein.

**Azey**

Cookie = nicht sensible daten wie is_admin
Session = sensible Daten (Login, is_admin usw.)

higoka

Also ich nutze beides.
Ich habe z.B. bei meinem Index eine "Angemeldet bleiben" Checkbox.
Wenn man sich einloggt und dies aktiviert hat, wird ein Cookie erstellt, das einen random generierten Hash hat und 30 Tage gültig ist.
Zudem wird wenn man sich immer eine Session erstellt. Wenn man nun keine Session hat, aber das Cookie existiert, wird eine Abfrage gemacht, die in der Datenbank den User sucht, der den gleichen Hash hat wie das Cookie. Stimmt das überein, wird er automatisch eingeloggt und die Session wieder erstellt.

Holyfuture

Zwischen cookies und Sessions gibt es keine absolute Sicherheit. Beide Id's sind zeichenketten, die man wie die vorherige Kette "klauen" kann. Wenn ihr session anwendet, solltet ihr session_regenerate_id nutzen und speichern lassen ( Das gilt auch für die Ips ).

Mal abgesehen davon, wird die Session_id auch in einem Cookie festgehalten. Es macht also Sinn beides zu kombinieren und gekonnt anzuwenden.

teacher

hier werden äpfel mit birnen verglichen
sowohl sessions als auch cookies erfüllen jeweils ihren eigenen nutzen und können, wie @Holyfuture schon andeutet, wunderbar harmonieren

Holyfuture

Zitat von teacher

hier werden äpfel mit birnen verglichen
sowohl sessions als auch cookies erfüllen jeweils ihren eigenen nutzen und können, wie @Holyfuture schon andeutet, wunderbar harmonieren

Da muss ich auch mal was neues reinwerfen Sie SOLLTEN sogar harmonieren. Es gibt verschiedene Möglichkeiten an sessions ranzukommen. "Unbeabsichtigte" sessionübernahmen können verhindert werden, wenn man die sessionid nur mit Cookies erlaubt. Hier bei wäre es empfehlenswert, dass Gästen keine Cookies zugeschrieben werden.

Es gibt so einige Möglichkeiten. Der Vergleich zwischen Cookies und Sessions ist ziemlich komisch, denn letztendlich ist beides notwendig für ein sicheres System.

**dotnet run**

Sessions für Login und Cookies für kleinere Dinge wie z.B. is_mobile

Killa Rebell

Danke an alle,

ich werde mich dann nun hinsetzen und beides kombinieren, da es wohl die Beste Variante ist.

Falls noch Fragen auftauchen sollten werde ich mich bei euch melden per PN, sollte jemand noch vorschläge haben, als her damit per PN.

Da der Thread geschlossen wird.

Holyfuture

Super, dann ist hier mal dicht.

#closed

Jetzt mitmachen!