Rola sesji w aplikacjach webowych

This content is not available in your language yet.

O czym jest to opracowanie?

Sesje w aplikacjach webowych

HTTP jest protokołem bezstanowym - każde zapytanie jest niezależne i serwer nie pamięta poprzednich interakcji. Sesje rozwiązują ten problem, pozwalajac na przechowywanie informacji o uzytkowniku miedzy kolejnymi zadaniami. Sa fundamentem systemow logowania, koszykow zakupowych i personalizacji.

Dlaczego warto to znac?

Autentykacja - sesje sa podstawa systemow logowania
Stan aplikacji - pozwalaja pamiętać wybory użytkownika
Bezpieczeństwo - zrozumienie sesji to zrozumienie potencjalnych atakow

Cel Twojego opracowania

Rozumiec dlaczego HTTP potrzebuje mechanizmu sesji
Umiec wyjaśnić jak działa identyfikator sesji i gdzie jest przechowywany
Potrafic pokazac tworzenie, użycie i niszczenie sesji w PHP
Wiedzieć, jak chronić sesje przed atakami (hijacking, fixation)

Zakres obowiazkowy

Elementy merytoryczne

Bezstanowość HTTP
- Każde zapytanie jest niezależne
- Problem z utrzymaniem stanu użytkownika
Czym jest sesja
- Mechanizm przechowywania danych po stronie serwera
- Identyfikator sesji (session ID)
- Powiazanie z cookie PHPSESSID
Implementacja w PHP
- session_start() - inicjalizacja sesji
- $_SESSION - tablica do przechowywania danych
- session_destroy() - niszczenie sesji
Zagrożenia bezpieczeństwa
- Session hijacking (przejecie sesji)
- Session fixation (wymuszenie ID sesji)
- Metody ochrony

Wymagane przykłady kodu

Przykład 1

Inicjalizacja sesji - session_start() na początku skryptu

Przykład 2

Zapis danych - zapisywanie do $_SESSION (np. dane użytkownika)

Przykład 3

Odczyt danych - sprawdzanie czy użytkownik jest zalogowany

Przykład 4

Zniszczenie sesji - poprawne wylogowanie użytkownika

Zakres rozszerzony (dla wyzszych ocen)

Regeneracja ID sesji (session_regenerate_id)
Konfiguracja sesji w php.ini
Przechowywanie sesji w bazie danych
Sesje a skalowalnosc aplikacji
Porownanie sesji z tokenami (JWT)

Proponowana struktura pracy

Struktura podstawowa

Wstep (0.5 strony) - HTTP jako protokół bezstanowy
Idea sesji (1 strona) - co to jest, jak działa, session ID
Implementacja w PHP (1.5 strony) - funkcje, przykłady kodu
Zagrożenia bezpieczeństwa (1 strona) - hijacking, fixation, ochrona
Dobre praktyki (0.5 strony) - zasady bezpiecznego uzywania sesji
Podsumowanie (0.5 strony)
Bibliografia

Pytania kontrolne

Dlaczego sesja wymaga cookie w przegladarce?
Co się stanie, jeśli nie wywołasz session_start()?
Jak zabezpieczyć sesje przed przejęciem?
Czym rozni się sesja od cookies?
Co to jest session fixation i jak go uniknac?
Kiedy należy regenerowac ID sesji?

Najczestsze błędy

Błąd	Jak poprawic?
Mylenie sesji z cookies	Jasno rozgraniczaj - sesja na serwerze, cookie w przegladarce
Brak kodu PHP	Pokaz session_start, $_SESSION, session_destroy
Brak analizy zagrożeń	Omow hijacking i fixation
Pomijanie session_start()	Wyjasni, że musi być przed jakimkolwiek outputem

Zasoby

PHP Manual - Sessions Oficjalna dokumentacja sesji PHP

OWASP - Session Management Przewodnik OWASP po zarzadzaniu sesjami

PHP Manual - session_regenerate_id Regeneracja ID sesji

Session Fixation Attack Opis ataku session fixation

Do dziela!

To więcej niz praca zaliczeniowa

Opracowanie tego tematu to szansa, by naprawde zrozumiec jak aplikacje webowe pamietaja użytkowników i ich dane.

Wykorzystaj lekcje - konsultuj watpliwosci, pokazuj postepy! Pracuj iteracyjnie - outline -> draft -> kod -> redakcja