Newsgroup: it.comp.www.asp
Titolo: Login utenti SICURO!

Come realizzare un login utenti che peschi i dati da un database e ne
verifichi la correttezza?
Ho letto l'articolo su ASPITALIA, molto tecnico, ma secondo me poco
esplicativo su quale sia il metodo piů sicuro...
Ho iniziato usando il metodo post postando user e password, ma se devo
ricaricare la pagina (facendo un submit con una form che varia alcuni dati)
ho assolutamente bisogno di mettere un campo nascosto con user e password.
Qui c'č il problema: se vado a leggere l'HTML di quella pagina trovo bello
in chiaro il nome utente e la password!!! SICUREZZA ZERO (immaginate se
qualcuno accede da una postazione pubblica...)
Allora uso l'oggetto session, mi sembra piů sicuro...
Ma con Explorer 5 non č che c'č qualche casino dovuto all'expire delle
pagine??? (mi sembrava di aver letto sempre su ASPITALIA...)
Se no, mi basta solo dire, dopo aver verificato l'esattezza di user e
password tramite il db,
SESSION("USER")=rs.fields("USER")
SESSION("PASS")=rs.fields("PASS")
?????
Le variabili SESSION("USER") e SESSION("PASS") quando terminano di esistere?
Quando chiudo il browser? Quando cambio sito?
Altrimenti, un cookie?
GRAZIE!!!
Federico Maccaferri  < 
f.macc...@libero.it
 >
=====================================
E' meglio essere ottimisti ed avere torto
piuttosto che pessimisti ed avere ragione
=====================================
Federico Maccaferri  < 
f.macc...@libero.it
 >
=====================================
E' meglio essere ottimisti ed avere torto
piuttosto che pessimisti ed avere ragione
=====================================
--
Posted from 
smtp1.libero.it
 [193.70.192.51]
via Mailgate.ORG Server - 
http://www.mailgate.org

Un sistema 'sicuro' non esiste, come non esiste un programma privo di bugs.
Il sistema piu' efficiente (credo) sia l'utilizzo delle variabili nella
Session (che tra parentesi usa i Cookie... anche se non te lo dice), questo
pero' non e' perfetto, primo perche', usando i cookies, se l'utente li ha
disabilitati non funziona, secondo perche' la session 'muore' di morte
naturale dopo un certo tempo.
Quindi se l'utente lascia la macchina perche' deve correre al gabinetto, al
suo ritorno la Session potrebbe non esserci piu'.
Il sistema che ho usato io su un applicativo piuttosto grosso (sviluppato
per l'AGIP) e' il seguente:
Maschera di Login con verifica utente e memorizzazione in una variabile
Session di una stringa.
Su ogni pagina, prima di qualunque altra cosa, verifica di tale variabile,
se non inizializzata (sessione scaduta o furbacchione che cerca di entrare)
redirect su pagine del tipo 'fare login grazie'.
Form piccole che l'utente non mi ci metta 2 giorni a compilarle.
Se qualcuno ha delle altre proposte decenti si faccia pure avanti...
Davide

 Altrimenti, un cookie?
E se un "navigatore" ha disattivato i cookie sul proprio browser ?
Ciao
Michele Mariotti

Finora con le sessioni mi sono trovato bene... Puoi sempre impostare Il
TIMEOUT a più di 20 min (es. 1h) all'interno del GLOBAL.ASA
[SESSION.TIMEOUT= xx] dove xx è espresso in minuti.
Ciao

Ciao.
Sono un neofita in asp, ma ho cercato in rete qualche info o tutorial e
all'url:
http://digilander.iol.it/nannib/index.html
ho trovato un corso asp in 6 lezioni, una delle quali tratta anche
l'argomento password di accesso.
Non so se sia proprio quello che ti serva, ma dacci un'occhiata.
Bye.
Luca Martelli.
/-----------------------------------------\
 
http://utenti.tripod.it/lucahome
  This is my home page.
  Questa č la mia home page.
\-----------------------------------------/