st_stПривязка к ip это защита пользователя при краже кук. У вас же как я понял из последнего сообщения - защить себя (чтобы юзеры не продавали свои аккаунты), а не пользователя. Посмотрите в сторону
usb-токенов .
Мы от подобных токенов наоборот, отказаться хотим.
st_stА мы один раз только залогинимся. Главный юзер авторизуется, получает куку, тут же программно автоматом копирует эту куку по всем браузерам предприятия и работаем в количестве 50 человек под одним аккаунтом. Сессию (если она есть) просто продлеваем редкими автоматическими запросами. Смысл в другом - городить это у себя на предприятии никто не станет, хотя вариант и возможен.
Я это и имел ввиду под синхронизацией куки между браузерами пользователей. Такая штука, естественно, сломает мою защиту. Только я тоже на то и рассчитывал, что городить это у себя никто не станет.
Antonariyuser7320На самом деле, задача моей защиты - недопустить, чтобы под одной учёткой работало более одного пользователя. Всё. И зачем для этого такой огород? Решение элементарное и ископаемое: при повторной авторизации закрывать первую сессию. Второй юзер заходит, первый вылетает. Всё.
Как я распознаю, где первый, а где второй? По айди сессии? Так это всё в куки хранится - легко скопировать или подделать. Причём достаточно скопировать один раз. А при постоянной смене куки их надо копировать постоянно.
Кроме того, как мне закрыть сессию предыдущего пользователя, когда ко мне послал запрос следующий? Если что, я использую FormsAuthentication.
Antonariyтакие проблемы нужно решать юридически, а не технически. собрать факты нарушения лицензионного соглашения и пригрозить судом.
Юридически - это понятно. Осталось только собрать факты ))) А в это время часики-то тикают и расходы-то идут. И при этом всё должно выглядеть цивильно, а не скандал с обрубанием сервиса пользователю. Лучше заранее предупредить, что частая смена браузера приведёт к перелогиниваю, и в лиц. соглашение это.
Ещё раз пишу, что можно несколько раз подряд идущих несовпадений куки пропускать - пусть это будет поправка на смену пользователем браузера в течении рабочего дня. Раз 10 пропустить. Теперь добавим сюда (это я щас придумал), что число подряд идущих несовпадений будет обнуляться, скажем, каждый час. В результате получим, что нормальный пользователь может даже не заметить работы системы и система не будет его спрашивать перелогиниться вообще никогда. А вот когда хотя бы двое начинают работать под одним акком одновременно, то лимит несовпадений быстро исчерпается и пойдут запросы на перелогинивание. Каково, а?
