Protection de répertoire

Bonsoir,

Dans un site web et en matière de protection de répertoire, je ne connais que la protection classique effectuée grâce aux fichier .htaccess et .htpasswd

- L'intérêt de cette pratique est de ne pas devoir retaper le mot de passe d'accès à la partie protégée tant qu'on n'a pas fermé son navigateur. Et ce, même si l'on avait déjà quitté le site.

- L'inconvénient est de devoir mettre à jour le fichier .htpasswd pour chaque utilisateur nouvellement autorisé. Ce n'est pas lourd à gérer quand il y a peu d'utilisateurs (demi-douzaine ou moins) mais devient plus problématique lorsque les utilisateurs sont beaucoup plus nombreux et qu'ils peuvent changer fréquemment.

Je souhaiterais plutôt utiliser une base de données (MySQL) pour enregistrer les nouveaux utilisateurs autorisés. L'enregistrement et la modification des mots de passe ne me pose pas de problème de codage. C'est l'utilisation pratique, le principe qui me pose problème.

Supposons que la partie protégée du site soit située à l'URL http://www.monsite.com/membres

Avec la protection classique, si je veux accéder à la page par défaut (page index.html ou index.php) ou à l'une quelconque des pages de ce répertoire ou de ses éventuels sous-répertoires, le mot de passe sera demandé. Et sans ces fichiers (.htpasswd), je ne vois pas comment je peux faire.

Je peux mettre un dispositif "garde barrière" sur la page index (http://www.monsite.com/membres/index.php) qui demandera un mot de passe mais si j'évite cette page en tapant directement le nom d'une page que je sais exister (par exemple: http://www.monsite.com/membres/liste.php), j'évite le garde-chiourme (index.php) et je passe quand même ! Pas bon. Par ailleurs, si je quitte le site (SANS QUITTER le navigateur) et que je reviens sur cette page par défaut (http://www.monsite.com/membres/index.php), le mot de passe me sera demandé à nouveau. Pas bon.

J'ai bien pensé à l'utilisation de cookies de session mais par principe, je me refuse à placer des cookies sur les machines de mes visiteurs.

Ma question est donc : comment assurer la protections des toutes les pages à partir d'un sous-répertoire (je ne demande pas le code mais la philosophie à utiliser) en enregistrant les mots de passe des utilisateurs dans une base de données, mais sans utiliser de cookies et tout en ayant la même sécurité et la même souplesse qu'avec des fichiers .htaccess et .htpasswd ?

Si quelqu'un a une idée de méthode, je le remercie par avance.