1

Estoy revisando un sistema de login en php y me encuentro que una vez autenticado, se guarda una variable de sesión. Con esta se comprueba en otras partes si se ha echo login.

Lo que yo me pregunto es si no seria más seguro guardar en la sesión el usuario y la contraseña e ir chequeando en la base de datos cada vez que accede a alguna parte de la web.

Lo que comento no lo he visto en ningún sitio, por eso lo pregunto.

2
  • 1
    No, yo no guardaría en variable de session el usuario y contraseña, me bastaría sólo con guardar el ID de este y comprobar que esta variable venga sino, es por que la session expiró.
    – jolsalazar
    Commented el 9 feb. 2017 a las 17:48
  • 3
    Eso no sería eficiente. El tiempo que tarda en acceder a la base de datos y consultar si ese usuario es correcto, no es el mismo que tarda en verlo en una variable de sesión. Commented el 9 feb. 2017 a las 17:51

2 respuestas 2

1

lo que comentan jolsalazar y cnbandicoot, es correcto, imagínate que tienes un trafico enorme de usuarios y agrégale que cada usuario ara una doble consulta,, una para la informacion que desea acceder y otra es la seguridad, de sesión..

Normal mente, el usuario se queda con un token, y tal token de autentificacion, presenta su fecha de cuando expiran, como su propia encriptacion del token,

NUNCA PERO NUNCA DES LA CONTRASEÑA DEL USUARIO LOGEADO, esto provoca que su cuenta este en peligro en mi opinión, por que su contraseña estara vulnerable, es como perder un credencial con, contraseñas

La forma de autentificar es de dar al cliente un token encriptado, tu servidor lo lee y pueda ver de que usuario pertenece seguido de fecha de expiracion, con variables extras que tu le puedes agregar, como permisos, o palabras que solo tu servidor va a manejar

1

Es correcto realizar esta practica para el proceso de autenticación, ya que solo se requiere un indicio en la sesión para saber si ha ingresado un usuario a la aplicación web; el indicio generalmente es el ID o token que apunte al perfil del usuario.

En cuanto al acceso a cada parte de la aplicación web le corresponde al proceso de autorización, el cual se encarga de verificar si el usuario tiene los privilegios o permisos adecuados para ingresar al recurso o modificar información; por lo que se tiene que apoyar en el ID o token del usuario almacenado en el indicio de sesión con el objetivo se validar contra la base de datos o punto de almacenamiento que contenga las referencias de autorización.

Es recomendable implementar un mecanismo de cache (almacenamiento temporizado) para mantener el resultado de verificación de permisos por cierto tiempo y disminuir la consultas a la base de datos.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.