CookieLoginMiddleware Есть такой случай. Есть пользователи, их identity храниться в базе.

Question

CookieLoginMiddleware Есть такой случай. Есть пользователи, их identity храниться в базе.

При смене пароля меняется auth_key. Но прикол в том что авторизованные пользователи на других устройствах/браузерах останутся авторизованными, потому что некоторые браузеры сохраняет ид сессии даже после закрытия хотя не должны. И еще потому что не происходит валидация кук при каждом запросе. Т.е. сначала проверка что пользователь не гость ($this->currentUser->isGuest()), а он не гость потому что сохранен id в сессии, и валидация кук не пойдет дальше. Я думаю что все равно нужно валидировать куки каждый запрос. Есть мысли, это баг или не?

https://github.com/yiisoft/user/blob/7bd541166949ac56a722a9555d43dac29976f424/src/Login/Cookie/CookieLoginMiddleware.php#L66-L68

#russian #software #yii

0

09.09.2023

7 ответов

61 просмотр

Дмитрий

Авторизация пока не лучшим образом сделана, это точно)

0

10.09.2023

oleg

можно удалить в контейнере для CurrentUser::class 'withSession()' => [Reference::to(SessionInterface::class)],

0

10.09.2023

rodigy Автор вопроса

Влад Малиничев
Так что мешает удалить все записи юзера из таблицы...

Для каждого юзера одна запись. В таблице это user_id, auth_key

0

10.09.2023

Влад Малиничев

rodigy
Для каждого юзера одна запись. В таблице это user...

А если он зашёл с двух мобил, планшета, компа и ноута?

0

10.09.2023

rodigy Автор вопроса

Влад Малиничев
А если он зашёл с двух мобил, планшета, компа и н...

Не важно при первом заходе создаётся запись, при остальных если она есть то просто в куки запись

0

10.09.2023

oleg

rodigy
Не важно при первом заходе создаётся запись, при о...

это кастомная сессия какая-то, одна на все логины, так то она правильно работает - на сессию в браузере

0

10.09.2023

Влад Малиничев · Accepted Answer

Влад Малиничев

Так что мешает удалить все записи юзера из таблицы? Добавить поле в таблицу сессий user_id, его заполнять при записи сессии, и потом при смене пароля, или при нажатии кнопки выйти со всех клиентов просто удалять все его записи из базы по user_id

0

10.09.2023

52 похожих чатов

CookieLoginMiddleware Есть такой случай. Есть пользователи, их identity храниться в базе.

7 ответов

Похожие вопросы