Исправление ошибки авторизации при использовании сессий вместо cookies

[LARK]

Не секрет, что опция использования для авторизации сессий вместо cookies, работает некорректно. При смене этой опции в админки с cookies на сесиию часто авторизоваться не представляется возможным и приходится править /modules/system/cache/config.php чтобы отключить параметр $rcxConfig['use_sessions']

Лечится просто, открываем файл /include/common.php

Находим строку

PHP код:

session_start(); 


и перед ней ставим

PHP код:

session_name($rcxConfig['session_name']); 


для RUNCMS 2.Х

или

PHP код:

session_name($xoopsConfig['session_name']); 


для RUNCMS 1.Х

[ZlydenGL]

LARK, а какие при этом будут вкусности? Просто на стороне пользователя не будет формироваться кука авторизации? Но ведь тогда при следующем входе на сайт пользователю придется вводить логин/пароль еще раз?

[LARK]

Сессии безопаснее, к тому же при авторизации по кукам, если при SQL инъекции будут украдены хеш пароля и соль админа, можно будет сформировать хеш передаваемый в куках и подставив его авторизоваться на сайте как админ. Это решаемо - опишу в другой теме.

В данном же случае придется возиться с XSS чтобы вытащить идентификатор сессии из кук.

Сообщение от ZlydenGL Но ведь тогда при следующем входе на сайт пользователю придется вводить логин/пароль еще раз?

Можно сделать автологин и с сессиями.

[ZlydenGL]

Сообщение от LARK Можно сделать автологин и с сессиями.

Но на данный момент сабж в RunCMS не реализован, я правильно понимаю?

[LARK]

Сообщение от ZlydenGL Но на данный момент сабж в RunCMS не реализован, я правильно понимаю?

да, не реализован

[Юрий Пет]

А почему бы тогда не сделать переключатель в админке, чтобы админ сам выбирал метод авторизации или сессии или куки

[ZlydenGL]

Юрий Пет, дык этот переключатель есть Просто если без фикса включить режим авторизации через сессии - то тебя выкинет нафиг, и авторизоваться как админ (и войти в админку для отката изменений) ты уже не сможешь. Поэтому LARK и упомянул файл, в котором надо физически поменять параметр, чтобы без фикса снова входить в систему.

[Юрий Пет]

Я думал, что старые версии уже стабильные, всё давно исправлено, а получается - нет пределов совершенству
Будем исправлять