[php] problem s sejo

Zdravo, imam en majčken problemček...namreč, ko se uporabnik spletne strani vpiše z veljavnimi podatki v aplikacijo, je iz strani vpis.php preusmerjen na stran profil.php...vse lepo in prav, prenos informacij seje je pravilen in stran profil.php se pravilno izpiše.

Težava pa se pojavi, ko želim ta isto stran (profil.php), še enkrat prikazati - tokrat z nekaj dodatnimi informacijami, pač odvisno od tega kaj je uporabnik izbral v html formi (kalistenika.inc). Takrat me namesto v profil.php (z dodanimi informacijami) preusmeri na vpis.php - kar nikakor ni logično - vsaj meni :(

"profil.php"

<?php
mb_internal_encoding("UTF-8");
mb_http_output( "UTF-8" );
ob_start("mb_output_handler");

//---preveri ali je uporabnik logiran---//
if (!isset($_SESSION['uporabnik']))
{
 include("index.php");
 exit();
}

//---pozdrav---//
echo ("Dobrodošli $up_ime");
?>
<?php

//---uporabnik izbere---// 
if(@$_POST['kknof'])
{
 $_SESSION['uporabnik'] = $up_ime;
 include("profil.php");
 echo "krneki";
}
else include ("includes/kalistenika.inc");
?>

In še "kalistenika.inc" (izriše html formo):

<?php

//---izriše html obrazec---//
?><form action="<?php echo $_SERVER['PHP_SELF']?>" method="post">
<input type="radio" name="$intenzivnost" value="lahko">Lahko<br>
<input type="radio" name="$intenzivnost" value="normalno" checked>Normalno<br>
<input type="radio" name="$intenzivnost" value="tezko">Težko<br>
<input type="submit" name="kknof" value="IZDELAJ" />
</form>

Nikakor mi ni logično kje sem ga pocitral...

Vsakršna pomoč bi zelo prav prišla...

Nisem neki PHP programer ampak tole se mi zdi zelo čudno :

v profil.php imaš include("profil.php");

1) Sj to je tisto - ni preusmeritve na vpis.php in mi kar preusmeri na vpis.php!!! Po logiki bi moralo preusmeriti na index.php, v kolikor v $_SESSION spremenljivki ne najde zapisa

2) v profil.php imam include("profil.php") zato, ker želim še enkrat prikazati isto stran, vendar tokrat z dodatnimi informacijami na njej...je to sploh možno ali sem kaj zabluzil?

3) session_start() imam takoj na začetku...takoj za php tagom...ko sem tu gori kopiral source, sem ga pozabil označit

Je torej še kšna ideja? Sem mogoče kje napravil logično napako?

Bom poskusil še to...da vidim kaj sploh je v spremenljivki...kakorkoli - želel sem napraviti program, ki bi še enkrat izpisal isto stran, tokrat z več informacijami (katere bi bile odvisne od izbire, ki bi jo uporabnik napravil ob stisku gumba kalistenika.inc).

In potem če je pogoj izpolnjen rekurzivno includaš?

Pa kaj je to: if(@$_POST['kknof'])

A postaš 0 in 1? Pa namesto @ uporabljaj raje isset() in potem primerjaj vrednost...

$_SESSION se sam "nastavi" na vseh straneh kjer bos pognal session_start() seveda glede na ustrezen ID seje, ki more biti v piškotku ali URLju.

1. povsod kjer hočeš delat s sejami začneš session_start()
2. da
3. ni potrebe, načeloma ti session ID PHP sam shrani v piškot (vsej večina privzetih konfiguracij PHPja je takšnih)
4. na drugi strani kjer je dostopen session ID, če uporabljaš piškotke je pomembno tudi kako imaš nastavljene domene/poddomene, na podstraneh pa ti mora po defaultu delat

>> Ko pošljem session_id na drugo stran, stran samodejno prevzame stevilko seje?

Ja, razen če imaš kakšno čudno konfiguracijo v php.ini, če se na strani izvede session_start() ti preveri če seja obstaja in nastavi vrednosti za tisto sejo, če seja ne obstaja pa tudi session_start() naredi novo sejo v katero moraš potem nafilat podatke.

>> Kaj pa če pošljem session_id() v $_POST?

Zakaj? Potem moraš uporabljat POST na prav vsaki strani kjer hočeš uporabljati seje, kar je malce nepraktično.

>> Ni to bolj varno...vendar, kako potem druga spletna stran prevzame session_id()?

Druga stran (na drugi domeni) ne more prevzet seje, sejo lahko prevzame samo podstran na isti domeni, oziroma v konfiguracijo lahko dodaš še poddomene in z kakšnimi mučkami domene na istem serverju, tukaj pa se konča (ker so podatki v seji shranjeni na serverju, uporabnik ima samo ID seje).

Če hočeš varnost določi vsaki seji IP naslov, brskalnik (kr hash) in datum recimo pa to preverjaj in lahko s tem precej omejiš session hijacking.

Sicer pa ... http://php.net/manual/en/book.session.p... preberi malo.