Cuando las variables de session son malas

[cehojac]

Hola. quería hacer la remodelación de una web antigua que controla el acceso de usuarios por javacript y quería hacerlo mediante sessiones de ASP para que al actualizar su pagina no tengas que volver a logearse (ya que pierden su session) pero mi jefe dice que no es bueno hacerlo pero no me ha explicado el porque.


me podrian decir en que casos no es bueno mantener la variables de session en una web?

PD: la web no es gran cosa y no necesita mucha seguridad.

Gracias

[triqui]

Un caso en el que las variables de sesión no son buenas recordarlas son para cuando ese ordenador accede varias personas, un cybercafe, una biblioteca, una universidad, el puesto de trabajo,.. etc, imaginate que accedes a tu correo de gmail,hotmail, y te guarda la sesión y otra persona utiliza el ordenador podría tener acceso a tu correo electrónico.

Es un pequeño ejemplo, pero por ejemplo hay páginas que necesitan de más seguridad que solo ver tu correo electrónico, aquellas páginas que haya transacciones monterias como las páginas de los bancos.

[Myakire]

Pero eso no es ejemplo de que mantener sesiones sea malo, es ejemplo de potenciales problemas debido a errores del usuario, si entra a su correo en una computadora pública y se va sin cerrar sesión, es completa responsabilidad del usuario.

La sesiones tienen caducidad, donde el IIS al no recibir peticiones después del tiempo que se le ha definido, termina la sesión de forma automática, el programador debió haber colocado código para no dejar entrar a una página que no tenga sesión habilitada, claro esta que la página que se este viendo en ese momento permanecerá mostrando la información "confidencial" hasta que no se intente de nuevo llamar al server.

En los bancos se implementa una llamada javascript al server cada cierto tiempo para ver si ha habido o no actividad y después de X minutos sin ella, se caduca la sesión en el server desde el servidor Web y se cierra la ventana del navegador con javascript.

Todo tiene sus "asegunes", debieras pedirle a tu jefe que te exponga sus motivos y tu sopesar si efectivamente son aplicables a tu caso, quizá no quiso decir que no sean buenas, sino que no son necesarias (en esta página en particular), aunque una seguridad basada en javascript y nada, es casi lo mismo.

Saludos