Телеграмм чат группы laravel

а как в ларе боротся с подменой кукисов для авторизации?

Это как?

12:28пожаловаться #1

ИЛ

Marcello

подскажите, пожалуйста, в методе контроллера указал такую штуку

/**
* @var $site_user ....
*/

но она видимо не работает, т.к. Ctrl-Click на методе этого класса пишет "Cannot find declaration to go to". что я делаю не так?

p.s. в соседнем (не моём) контроллере то же самое работает прекрасно

Проверь импорты

12:28пожаловаться #2

V

Иван Лещенко

Это как?

только что с чуваком проверил.
если взять чужой кукис с "remember_me" (типа то что ложится в куки авторизации при использовании Auth::login($user, true); )
в связке ключ - значение и положить его себе
оно спокойно залогинит под другой учеткой

12:30пожаловаться #3

V

чужой типа

12:30пожаловаться #4

V

т.е. если у меня есть ремембер токены - я могу кинуть их в хеш и зайти под любой учеткой

Andrey Helldar in Laravel для начинающих

12:30пожаловаться #5

AH

только что с чуваком проверил.
если взять чужой кукис с "remember_me" (типа то что ложится в куки авторизации при использовании Auth::login($user, true); )
в связке ключ - значение и положить его себе
оно спокойно залогинит под другой учеткой

Точно под чужой логинить будет или под той, откуда взял?

12:30пожаловаться #6

V

или если увел чьито куки - тоже спокойно зайду

12:31пожаловаться #7

V

Andrey Helldar

Точно под чужой логинить будет или под той, откуда взял?

чужая = та откуда взял

12:31пожаловаться #8

V

цсрф токены лежат, 419 не выбивает

Andrey Helldar in Laravel для начинающих

12:31пожаловаться #9

AH

чужая = та откуда взял

Да, херню написал. Согласен.
Как бы, логично, если куку авторизации берёшь, то под ней и зайдет.

12:31пожаловаться #10

V

вот такая вот ерунда получается..

12:32пожаловаться #11

ИЛ

только что с чуваком проверил.
если взять чужой кукис с "remember_me" (типа то что ложится в куки авторизации при использовании Auth::login($user, true); )
в связке ключ - значение и положить его себе
оно спокойно залогинит под другой учеткой

Можно по IP конечно чекать, но тоже такой себе вариант

12:32пожаловаться #12

V

тогда юзер не зайдет с других устройств

12:33пожаловаться #13

ИЛ

Да и врядли ты как-то куку украдёшь в сегодняшних реалиях