amfphp und setCredentials

[Preldi]

Hallo,

amfphp stellt ja eine Funktion bereit, was verhindert, dass die serverseitigen Funktionen unauthorisiert ausgeführt werden können. Mit setCredentials() kann sich ein Client bei dem Serverscript authorisieren.

Die Authorisierungsdaten müssen dazu ja in jedem Falle clientseitig verfügbar sein, sind also im plain-Format in irgendeiner Weise abrufbar (z.B. im swf als String abgelegt).

Nun meine Frage: Wozu sollte ich deswegen eine Passwortabfrage in ein Script einbauen, wenn die Logindaten sowieso für jeden Nutzer einsehbar sind?

Ich finde das recht interessant, die serverseitigen Scripte irgendwie zu schützen, aber diese Möglichkeit erscheint mir Wirkungslos. Hat von Euch jemand eine Idee dazu?

Viele Grüße

Stefan

[JoshXP]

wie in jedem andren php projekt auch mit passwort und username in der DB in kompination mit gültigen sessions.

Es gibt auch von pear LiveUser authetifikation package

[Preldi]

Hallo,

vielen Dank für Deine schnelle Antwort. Aber auch wenn ich die Login-Daten an eine Session binde, kann sich doch jeder einen gültigen Session-Key holen und hat somit Zugriff auf die serverseitigen Funktionen.

Wenn ich mich wie bei jedem Login/Passwort basiertem PHP-Projekt authorisieren muss, benötige ich doch kein extra Login für die serverseitigen Funktionen, oder?

Hab ich da nen Knoten in meinen Gehirnwindungen? Denn ich hab den Sinn dieser Funktion immernoch nicht verstanden.

Viele Grüße

Stefan

[JoshXP]

ah einfach ma so einen gültigen session key holen ????????

bewahre doch einfach die UserID in der session auf so das du sie bei DB abfragen zur hand hast. Erstellt wird die session ID von einem Service oder in der Constructor funktion.

[Preldi]

Ok, aber die Funktion setCredentials wird doch clientseitig vom SWF ausgeführt, was bedeutet, dass die Daten dafür auch beim Client vorhanden sein müssen (ob sie nur während der Laufzeit vorhanden sind oder generell spielt ja keine Rolle).

Natürlich kann ich die Funktionen, die ich mit Hilfe von NetConnect auf dem Server anspreche, in einem Bereich ablegen, den man nur mit einem gültigen Login erreicht. Dazu benötige ich aber nicht setCredentials.

So wie ich das verstanden habe, kann ich mit der Funktion die serverseitigen Scripte nur vor denjenigen sichern, die nicht die Möglichkeit haben, den Inhalt des SWF genauer unter die Lupe zu nehmen oder die Datenkommunikation zwischen Server und Client nicht einsehen können (aus welchen Gründen auch immer).

Aber wirkliche Sicherheit bringt das doch nicht, oder?

Viele Grüße

Stefan