Логин и Пароль, где хранить?

[spirit-ua]

Всем Привет!

После успешной авторизации на сайте пользователю раздаются определенные права на доступ к разделам сайта и права (пользователь, модератор и т.д.), так вот вопрос: где хранить эти данные (логин, пароль, права)?

1. Сессия? Возможно ли подделать сессию? Я понимаю что данные сессии хранятся на стороне сервера но есть ли риск?
2. В переменной и каждый раз при загрузке какой либо странички дергать БД и проверять тот же логин и права? Возможно ли подделать значение переменной?
3. Иной вариант (куки не канают)

Не интересуют все тонкости безопасности и километровые манулы, просто на пальцах расскажите как реализована данная задача на сайтах

[ADSoft]

после успешной авторизации зачем такскать логин пароль с собой? просто идентификатор пользователя и флаг успешной авторизации.. .все права по идентификатору можно вытянуть.. но если хотите какие то параметры вместе с идентификатором можно таскать ....

Используйте сессию и будет вам счастье

[Stilet]

Сессия? Возможно ли подделать сессию?

Конечно можно. Но бессмысленно, ибо она временная, и если юзеройд будет нормально выходить с сайта, то подделка сессийного ключа становится манкибизнесом.

В переменной и каждый раз при загрузке какой либо странички дергать БД и проверять тот же логин и права?

Вот как раз для этого есть сессийные ключи.

Возможно ли подделать значение переменной?

Это из области киберпанка уже
можно подделать все, но зачем?

Так что ADSoft прав - сессия все (большинство) случаи решает.