PHP. Сессии в БД. Кроссдоменная авторизация. Что-то я в этой жизни не понимаю?

Question

[wmw85]

Сессии хранятся в БД. Авторизация общая на 2 сайта(2 домена, сайты лежат рядом на одном сервере). Когда юзер авторизуется на одном сайте, происходит редирект на второй, где для session_name() прописывается та же величина, что и на первом сайте (в куках). Таблица с сессионными данными общая для 2х сайтов.

На старом хостинге все работало норм, на новом — пока нет.

Описание проблемы —

Я авторизовался с одного сайта. Захожу на второй, из базы извлекаются данные(фунция read), тут все норм. Но — сразу после session_start(), делаю print_r($_SESSION) и вижу пустой массив. Т.е. строку отдал, получил — … ничего не получил. Так происходит только с данными записанными на одном сайте, которые я пытаюсь прочитать на другом.

Что нашел — данные на старом хостинге писались в виде сериализованного масссива. Здесь же — 'rJFJvf6LVaiQoSWdAHmIFSu5Zfx-393AnbN81sd2B5jmEeWlhKYJB_E9Lv93BjVw'. Может быть в этом дело.


session.serialize_handler = php на обоих хостингах

php — 5.2.4(старый) / 5.2.14(нов)

все настройки php блока session — одинаковые.


Спасибо!

Answer 1

[Антон Корзунов]

Вариан 1 — злой и страшный «Suhosin» — шифратор данных сессии.
И будьте добры показать настройки read-write-start сессий

Comments

[wmw85]

одного слова оказалось достаточно, чтбы найти причину возникших проблем. Большое Спасибо!

[wmw85]

действительно стоит Suhosin патч. отрубил — все заработало. Осталось понять, как заставить работать со включенным.

Как по вашему, он вообще нужен?

Answer 2

[Hotpilot]

rJFJvf6LVaiQoSWdAHmIFSu5Zfx-393AnbN81sd2B5jmEeWlhKYJB_E9Lv93BjVw — это больше похоже на ключ, чем на данные и длина = 64

Comments

[wmw85]

при авторизации, в сессию добавляется данных, получается 172 байта

Answer 3

[Hotpilot]

Похоже, что php собран с модулем повышения безопасности, типа Suhosin, который шифрует данные сессии. И ключ шифрования зависит от домена. Попробуйте отключить все лишние модули.

Comments

[wmw85]

да. смотрите ответ kashey,
Сегодня в 13:05

[wmw85]

и — спасибо!

Answer 4

[Hotpilot]

а session_decode() правильно раскодирует эту строку?

Comments

[wmw85]

session_decode() возвращает true.

Попробовал положить в сессию одни и те же данные, на разных сайтах. Вот что получилось —

1й сайт
BJ8UYHFhBIRBWsgTK4IV7nsrsbuzwG52D8wzvGKq8wpCuzW4r49kVGBLP7d1YYCVqomXllCLsA28CVkVwZHczxRwpHQyRAY-
eNSr0SL7FGHNKyj2D1BTfTYdUZn62kS3

2й сайт
oqUMe0sfWKwmVyIABNUjJprYIlBpIgpMZpu-
wGtDdIR6Do_8hpUSpr_AnhB9JfRI0VVniVTJSWrAC1S8C7s2ypPOBEKD6wJKIvoAD1MN9Zbpii87KEP1BFjEwkzpt3L9

несмотря на то что session_decode() возвращает true, массив данных я получаю пустой(если подставляю в сессию данные записанные на другом сайте)