MATOMO_SESSID Lebensdauer ändern

R_M · June 15, 2021, 9:16am

Hallo,

ich würde gerne das Cookie “MATOMO_SESSID” auf Sitzungsende setzen. Im Moment ist es VOR dem Einloggen auf “Sitzungsende” gesetzt aber NACH dem Einloggen auf 7 Tage?!

Kann mir jemand sagen, in welchem File ich die Änderung machen muss? Und warum ich zwei verschiedene Inhalte bekomme?

Vielen Dank!

Lukas · June 15, 2021, 10:24am

Hallo,

Meine (recht blinde Vermutung) ist, dass vor dem Anmelden die Session von PHP gesetzt wird, während beim Anmelden Matomo explizit die Laufzeit des Cookies setzt.

Der Teil der config erklärt das etwas besser.

github.com

matomo-org/matomo/blob/b58ed3d4516f2c8214b547032d1cd7fac3088646/config/global.ini.php#L444-L446


; By default, the auth cookie is set only for the duration of session.
; if "Remember me" is checked, the auth cookie will be valid for 14 days by default
login_cookie_expire = 1209600

Einfach login_cookie_expire = 0 in die config.ini.php zu geben würde aber nicht funktionieren, da es dann in 0 Sekunden, also sofort ablaufen würde.

Man müsste dafür wirklich diese Zeile durch 0, ersetzen:

github.com

matomo-org/matomo/blob/f870c8ecd4b4f30fa5108bc098c12e2ddb5d852c/core/Session/SessionAuth.php#L212


private function updateSessionExpireTime(SessionFingerprint $sessionFingerprint)
{
    $sessionParams = session_get_cookie_params();
    // we update the session cookie to make sure expired session cookies are not available client side...
    $sessionCookieLifetime = Config::getInstance()->General['login_cookie_expire'];
    Session::writeCookie(
        session_name(), 
        session_id(), 
        time() + $sessionCookieLifetime,
        $sessionParams['path'],
        $sessionParams['domain'],
        $sessionParams['secure'],
        $sessionParams['httponly'],
        Session::getSameSiteCookieValue()
    );
    // ...and we also update the expiration time stored server side so we can prevent expired sessions from being reused
    $sessionFingerprint->updateSessionExpirationTime();
}

Mir ist aber nicht ganz klar, warum du das machen willst. Wäre es nicht einfacher das Login-Formular so abzuändern, dass “Angemeldet bleiben” nicht angehakt werden kann?

Und ich fürchte auch, dass es im Allgemeinen keine Sicherheit bringt, weil dann Leute (weil sie sich dauernd anmelden müssen), schlechtere Passwörter wählen.

R_M · June 16, 2021, 6:44am

Hallo Lukas,

du hast Recht…auf 0 setzten bringt nichts, da kann man sich nicht mehr anmelden…

Die Anmerkung kommt leider von unserem Datenschutzbeauftragten…

Das mit dem Ändern des Login Formulars wäre ne Idee!
Vielen Dank!