Tu session est en fait un fichier créé sur le disque dur du serveur, donc tu peux a priori faire confiance aux données qui y sont contenues.

Personnellement, pour vérifier les droits d'un utilisateur, je les stocke dans une variable de session au moment du login, avec les autres informations dont j'aurai besoin dans mon script. Je régénère aussi un identifiant de session à chaque fois qu'il y a changement de droits (anonyme -> connecté -> admin ) afin d'éviter une fixation de session. Je vérifie également que l'agent utilisateur ne change pas entre deux requêtes, ce qui laisserait fortement présager un vol de session.

Voilà le code ajouté en tête de tous mes fichiers :

// Si la session est inactive depuis 
// 10 minutes ou plus, on la détruit.
if ( isset( $_SESSION['timestamp'] ) && $_SESSION['timestamp'] >= time() + 600 ) {
    // Détruit toutes les variables de session.
    $_SESSION = array();
    // On efface également le cookie de session.
    if ( isset( $_COOKIE[session_name()] )) {
        setcookie( session_name(), '', time()-42000, '/' );
    }
    // Finalement, on détruit la session.
    session_destroy();
} else {
    $salt = 'une_chaine';

    // Initialisation de la session.
    session_start();
    
    if ( !isset( $_SESSION['initiated'] ) ) {
        session_regenerate_id();
        $_SESSION['initiated'] == true;
    }
    // On vérifie que l'agent utilisateur ne change pas entre deux requêtes.
    if ( isset( $_SESSION['check'] ) ) {
        // Si c'est le cas, on demande à l'utilisateur de s'identifier à nouveau.
        if ( $_SESSION['check'] != md5( $_SERVER['HTTP_USER_AGENT'].$salt ) ) {
            header( 'Location: login.php' );          
        }
    } else {
        $_SESSION['check'] = md5( $_SERVER['HTTP_USER_AGENT'].$salt );
    }
    $_SESSION['timestamp'] = time();
}

Merci, réponse précise et explicite, merci!

Je vais modifier mon code de la sorte!

Je voulai savoir, le md5 sert apparement à crypté le mdp si j'ai bien compris, mais je n'en vois pas l'utilité car je suis récemment tomber sur un site qui décodé les mots de passe md5 à la volée, je pourrait plus te donner l'adresse, mais bon, md5, j'ai pas l'impreesion que sa sert à grand chose, peut être faudrait-il créer sont propre algorythme dans se cas?

Ensuite, je voudrai comprendre à quoi sert le "$_SESSION['check']", tu y met quoi dedan le md5 c'est ça? $_SERVER['HTTP_USER_AGENT'] prend en mémoire le md5 également? La session timestamp ne suffit elle pas?


Dernière questions :) sur mon serveur les session durent 30 minutes, c'est de trop, 10 minutes c'est plus sur?

Merci encors de m'éclairé sur tout ça :)

Ne faite jamais la même erreur que moi, Ne prenez jamais d'hébergement chez LWS !!
Bug, pages longue à chargé, énormément d'options désactivé, mauvais support client, mais prix pourtant bien élevé...

Tes réponses sont vraiment bien formulé, c'est super simpa de m'aider, maintenant je comprend mieu, enfin, je pense avoir tout compris, ou presque...

Le fameux $salt, en fait, c'est toi qui le défini plus haut c'est ça?
Et si oui, il ne change pas entre deux utilisateurs, c'est toujours le même, par exemple, tu met qq part dans ton fichier de configuration un :
<?php
$salt = "?J4d5)G'#";
?>

Si c'est ça, j'ai tout compris, sinon, ça serait simpa de me dire d'ou il vient, car sur le net j'ai rien trouvé!

Et pour les durées des sessions, je laisserai les 30 minutes par défaut car les visiteurs pourront uploader des musiques, et avec ceux qui ont le bas débit, on ne sait jamais...

après, je peut aussi utiliser un algoritme perso genre

<?php
$mdp = str_replace("a", "fg64554fdg65dfg4655f", $mdp);
$mdp = str_replace("b", "4zerf45e6z4ez34fz3zzf", $mdp);
//.... Et ainsi de suite de' 0' à '9' et de 'a' à 'z';
?>
C'est encore plus balèze à craqué ça non?



Encore merci!

Ne faite jamais la même erreur que moi, Ne prenez jamais d'hébergement chez LWS !!
Bug, pages longue à chargé, énormément d'options désactivé, mauvais support client, mais prix pourtant bien élevé...

Merci de tes réponses, donc, je commence dans l'ordre:

Si ta variable $salt est généré aléatoirement, le visiteur va par exemple avoir ceci :

$salt = 'gerf?546354er?';
md5( $_SERVER['HTTP_USER_AGENT'].$salt ) = $_SESSION['check'] ;

Mais si il va sur une autre page, la variable sera à nouveau généré aléatoirement, tu aura donc par exemple :
$salt = 'uneautrechaineds545534svdf';
md5( $_SERVER['HTTP_USER_AGENT'].$salt ) = $_SESSION['check'] ;

Donc, le script renverra forcément false, c'est ça que je comprend pas, a part ça, j'ai compris ton script, il est bien pensé, c'est juste cette variable qui me pose problème!!

Ensuite, pour les fichiers, j'ai réduit la taille max à 5mo pour les musiques et 3 mo pour les photos et avatars, bien sur, les photos et les avatars uploader sont réduit grâce à la librairie gd, donc je pense que 30 minutes suffisent, il faudra que je demande à un pote qui est encors en bas débit de tester le bordel, sinon, je modifieré la durée des session pour ces pages la!

En ce qui concerne le format des fichiers, il sera réduit à jpg et jpeg pour les images et à mp3 et wmv pour les audios, je pense que cette simple verif devrait suffire point de vue sécurité!

Et vue que tu me demande, pour les droits sur les fichiers, je metterai simplement un genre de règlement avec une case à coché certifiant les droits sur le fichier, je pense que cela sera suffisant!

Pour le codage, j'utiliserai comme dans ton script avec un ptit algorythme en plus, de toutes façon, ça sera une genre de plate-forme blog, date de concert etc... truc sans donnée très importante, innutile de sécurisé de trop le script!

Je suis d'accord avec toi, en général j'apprend dans les tutos, mais des fois, pas le choix, je suis obligé de voir sur les forums!

Merci

Slt, dzl pour le retard de réponse!

Pour la variable $salt, j'ai créer un code de crypté à l'aide des infos du membre, je pense que cela devrai suffire, puis comme tu dit, c'est déjà bien sécuriser coté serveur, donc ça devrait allé!!

Pour l'upload d'image, je pense que mon script est assé sécurisé, car toutes les images sont redimentionné, donc normalement, si ce n'est pas une image, un message d'erreur devrait être envoyé!
Par contre, je n'arrive à redimentionné que les images jpeg et jpg, ce qui est gif et btm etc... n'est pas pris en compte par ma fonction, mais je ne pense pas que cela pose problème car en générale, le format utilisé est le jpg!

Pour ce qui est des musiques, c'est les artistes, eu même qui metteron à disposition leurs propres compositions, et la case à coché me permet d'être sur qu'il soient averti que les musiques qui mêtent en ligne leurs appartiens, et que les droits de diffusion leurs appartient aussi!

Je pense que cela devrait suffire, car sinon, des sites comme youtube daylimotion, myspace..... serait également illégale!!



Ne faite jamais la même erreur que moi, Ne prenez jamais d'h­ébergement chez LWS !!
Bug, pages longue à chargé, énormément d'options désactivé, ­mauvais support client, mais prix pourtant bien élevé...