Comment éviter de multiples connexions au site web PHP

(Veuillez noter que, si la technique est encore un peu en cours de validité; le PHP échantillons ne doivent pas être copiés mot à mot il y a de plus sûr moyen de l'intégration de l'utilisateur fourni des valeurs dans une requête SQL)

---

Au lieu de les stocker si l'utilisateur est actif\inactif, il est préférable de les stocker de certains attributs qui peuvent être vérifiées par l'utilisateur sur une base par action de base; que, chaque fois que l'utilisateur essaie de faire quelque chose qui nécessite une authentification, il va vérifier pour voir que cet attribut correspond avant le produit.

Je vous recommande de faire ce qui suit;

Tout d'abord, créez une table de hachage pour identifier l'utilisateur à chaque fois qu'ils se connectent. J'imagine qu'un sha1 de time() serait suffisant pour éviter les collisions. Quoi que vous choisissiez, assurez-vous qu'il est assez variée pour qu'un autre utilisateur, l'enregistrement ne sera ont une faible chance de recevoir le même hachage (par exemple, ne pas hash de l'adresse IP ou le user-agent du navigateur, car elles ne sont pas assez variés).

Deuxième, de stocker cette valeur de hachage dans votre base de données et l'utilisateur session au moment de l'enregistrement. Le faire efficacement "log out" de l'utilisateur précédent, comme le hachage doit être différente à chaque fois que quelqu'un se connecte.

Puisque nous sommes à l'aide de sessions, un cookie doit être placé automatiquement dans le navigateur de l'utilisateur qui contient un IDENTIFIANT unique qui identifie l'utilisateur de ses données de session. Le contenu du cookie ne sont pas vraiment de souci.

Ensuite, créez une fonction appelée authenticateUser() ou similaire, qui sera appelée au début de chaque script pour s'assurer que l'utilisateur est authentifié. Ce script doit interroger la base de données, de vérifier si un utilisateur avec votre ID de l'utilisateur a une table de hachage qui correspond à votre utilisateur de hachage.

Par exemple:

function authenticateUser($id, $hash, $databaseLink) {
    # SQL
    $sql = 'SELECT EXISTS(
               SELECT 1
               FROM `tbl_users`
               WHERE `id` = \''.mysql_real_escape_string($id).'\'
               AND `hash` = \''.mysql_real_escape_string($hash).'\'
               LIMIT 1
           );';

    # Run Query
    if ($query = mysql_query($sql, $databaseLink)) {
        # Get the first row of the results
        # Assuming 'id' is your primary key, there
        # should only ever be one row anyway.       
        $result = mysql_fetch_row($query);

        # Casting to boolean isn't strictly necessary here
        # its included to indicate the mysql result should
        # only ever been 1 or 0.
        return (bool)($result[0]);
    } else {
        # Query error :(
        return false;
    }
}

Ensuite, il nous suffit de passer authenticateUser() de l'utilisateur ID, hash (par vos données de session) et un database link (pour une connexion de base de données, vous devez avoir ouvert plus tôt).

Si authenticateUser() retourne true, l'utilisateur est authentifié. Si false, l'utilisateur n'est pas OU de la base de données n'est pas disponible ou il y a une erreur SQL.

Veuillez noter que cela va augmenter la charge de votre serveur comme une demande de base de données est envoyé une fois par demande de page. Il n'est probablement pas sage de le faire sur le géant de projets où des milliers de personnes se connectent à un moment donné. Je suis sûr que quelqu'un peut suggérer des améliorations.

Aussi, dans l'attente de l'expiration du cookie n'est pas la meilleure façon de forcer les personnes qui ont été inactifs pour vous déconnecter, vous ne devriez jamais faire confiance à des cookies. Au lieu de cela, vous pouvez ajouter une colonne appelée last_active qui vous pouvez mettre à jour à chaque fois que l'utilisateur est authentifié. Cela permettra également d'augmenter la charge du serveur, mais vous permettra de remplacer manuellement rassis log-ins en retrait de la hash pour les utilisateurs qui ont été, disons, inactif pendant 3 heures.

OriginalL'auteur Lachlan McD.

Voici une solution qui n'est pas besoin constant accès à la base de de travail...

(ce qui permettra d'éviter la nécessité de vérifier la session_id() contre la valeur de base de données chaque fois que vous demandez/actualiser une page, le soulagement de la db/serveur de stress)...

1. Sur connexion, saisir la pré-existant session_id stockées dans la base de données pour cet utilisateur et ce faire:

session_id("the pre-existing session id in the database goes here");
session_start();
session_destroy();

2. Le début d'une nouvelle session et enregistrer cette nouvelle session_id à la base de données, en écrasant la précédente. Cela permettra de déconnexion de la session précédente sur cet utilisateur, si il est actif (effet de déconnecter l'autre gars à l'aide de ce compte).

Lui donner un essai et laissez-moi savoir si ce n'est l'affaire!!

OriginalL'auteur prograhammer

Vous avez besoin pour créer un ID unique et la stocker dans une base de données. Ce que j'ai fait a été de créer un trop. - Je ranger dans une variable de session et de l'utiliser pour éviter le détournement de session et un autre dans une base de données pour empêcher les connexions multiples. Le code suivant va créer un ID unique:

$unique_id = sha1('xzr4'.gethostbyaddr($_SERVER['REMOTE_ADDR']).$random_string.$_SERVER['HTTP_USER_AGENT'].'f8k2');

Si l'ID unique ne correspond pas, il vous suffit de déconnecter l'utilisateur.

OriginalL'auteur Dan Bray