sistema de usuarios

[bomba1990]

tengo una pequeña consulta que quiero saber a ver que opinan que sea mejor para una pagina web.

Estoy haciendo un sistema de usuarios con diferentes niveles de acceso  en codeigniter. el problema esta en que no estoy muy seguro cual es la mejor forma:

Una manera que a mi se me ocurrio que cuando el usuario se conecte automaticamente almacene una variable donde diga si esta autenticado o no y otra con el nivel del usuario. y cuando alguien entre solo comprueba esas dos variables.

Pero tengo un amigo que me aconseja guardar el psw y el nombre y que cada ves que cargue la pagina el sistema comprobar una y otra ves si el usuario existe? si la contraseña es correcta? si es asi dejalo pasar.

que opinan ustedes?? cual de los dos es mejor??

[#!drvy]

Base de datos.


Una tabla de usuarios, un campo con el nombre otro con el password y otro con el nivel del usuario. Luego al autentificarse el usuario guardas una session y compruebas su nivel.



Saludos

[bomba1990]

no claro todo lo que mencionas ya lo tengo, y yo por lo genral lo hago como tu dices lo que me causa un poco de controversia es qu emi amigo me dice que cada ves que ese usuario entre en la pagina haya que volver a comprobar con su login y su pasword que estan guardados en sesiones que de verdad esa persona existe.

un ejemplo para entedenderme mejor

ejemplo 1:

un usuario se escribe su usuario y su pasword, y despues le da login, el sistema procesa revisa que de verdad existe comprueba el password almacena en dos variables una autenticado si y en otra tipo de usuario x(el nivel que el mismo posea) despues que el empiese a navegar por las diferentes paginas cada una lo unico que hace es revisar si esas variables de sesion estan puestas y funcionar.

ejemplo 2:


un usuario se escribe su usuario y su pasword, y despues le da login, el sistema procesa revisa que de verdad existe comprueba el password almacena en cuatro variables una para el usuario, otra para el pasword , otra mas para autenticado si y en otra tipo de usuario x(el nivel que el mismo posea) despues que el empiese a navegar por las diferentes paginas el sistema con el nombre y la clave que estan almacenados en la web revisa de nuevo si el usuario existe y la clave corresponde y despues prosigue.


no se si me captan?? cual de los dos les parece el mejor??

[#!drvy]

Para mi la segunda, pero sin tantas variables almacenadas. Podrias por ejemplo unir la del usuario y la del password en una separadas mediante un hash. algo asi:

Código (php) [Seleccionar] Expandir


<?php
$usuario = 'bla bla bla';
$password = 'bla bla bla';
$usupass = $usuario.'/@@@/'.$password;
?>


y luego si hace falta comprobar los recuperas mediante explode o cualquier otra cosa.
lo correcto (creo yo) seria realmente comprobarlo en todos los casos.




Saludos

[xassiz~]

Tienes que guardarlo en la db y comprobarlo desde el servidor, las sesiones se pueden falsificar.