Hej, napisałem sobie taki mały skrypcik do logowania, a jako że nie tworzyłem dotychczas niczego podobnego, to potrzebuję Waszej porady odnośnie zabezpieczeń i nie tylko. Całość wygląda tak:

logowanie.cls


Klasa form_logowania() wstawia po prostu formularz do zalogowania. Login i hasło będzie pobierane oczywiście z bazy danych. Tutaj dane są przykładowe i "na szybkiego" Aha, i wyświetlanie session_id(), to tylko tak dla mnie, żebym widział, że się wygenerowało.

Kod powyżej wstawiam tak:

log.php


I przykładowa strona, która przejmuje id sesji oraz nazwę użytkownika:

log2.php


Teraz mam pytania.
1. Czy do super globalnej tablicy $_SESSION mogę wrzucic co mi się podoba?
2. Czy przekazywanie przez tę tablicę loginu jest ok, czy lepiej to zrobic jakoś inaczej?
3. Czy dobrze rozumiem, że ta tablica jest przechowywana w ciastkach?
4. Czy zamiast pisać:

...można napisać bez tej zmiennej? Chodzi o coś w stylu:

Jeśli tak, to jak, bo u mnie na localhoście nie działa? (wiem, że to pytanie powinno być w dziale o OOP, ale zamiast się rozdrabniać, napiszę w jednym poście)
5. Czy skrypt jest dość bezpieczny jak na zwykłą szkolną stronkę? Jeśli jest dziurawy jak sito, to proszę Was o podanie mi ewentualnych możliwości odnośnie wykradzenia sesji, przejęcia hasła oraz loginu itp.

Pozdrawiam.

Po pierwsze ELSEIF sie pisze chyba razem:)
Po drugie, ja w Twojej funkcji sprawdzałbym czy istnieje taki id użytkownika, dopiero potem przesłał z bazy danych sobie login i to co jest potrzebne. Chyba, że login jest tajny np jak w banku to działasz tylko na ID.

Po trzecie, spróbuj to zrobić na jakimś frameworku, pójdzie szybciej i jest sprawdzone pod względem dziur. Choć wiem, że napisanie swojego frameworka to większa frajda ;p

nie ma to znaczenia.

jak mu wygodniej.

Jeśli chodzi o sprawdzenie najpierw id, to w zasadzie muszę to przemyśleć, ale wydaje sie to być dobrym pomysłem. Co do frameworka, to jednak na tym mi nie zależy, gdyż chcialbym się przy okazji sam tego nauczyć. Korzystanie z gotowców, to dla mnie ostateczność - takie zboczenie

Edit: Jesli chodzi o tablicę SESSION, to już dowiedzialem się, że mogę sobie tam wrzucać co chcę

EDIT:

Tak się zastanawiam dlaczego na localhoście ten skrypt wywala mi błędy:

logowanie.cls

[PHP] pobierz, plaintext 
<?php
 
class logowanie
{
    private $login;
    private $haslo;
    
    function __construct($login, $haslo)
    {
        $this -> login = $login;
        $this -> haslo = $haslo;
    }
    
    public function sprawdz()
    {
        if ($this -> login && $this -> haslo) {
        
            //łączymy się z bazą danych
            $baza_conn = new baza_conn();
            $baza_conn -> polacz();
 
            // wybieramy dane z naszej tabeli
            $zapytanie = "SELECT login, haslo FROM loginy WHERE login = '" .$this -> login. "' AND haslo = '" .md5($this -> haslo). "'";
            $idzapytania = mysql_query($zapytanie);
            
            //do zmiennej wrzucamy ilość wierszy jaką zwróciło zapytanie do bazy
            $czy_jest = mysql_num_rows($idzapytania);
            
            // zamykamy połączenie
            mysql_close($connection);
            
                //sprawdzamy czy ilość wierszy wyrzuconych przez zapytanie =0 czy >0. Jeśli 0, to logowanie da FALSE.
                if ($czy_jest == 0)
                {
                    echo "Niepoprawny login lub haslo";
                    echo "</BR></BR>";
                    $logowanie = new form_logowania();
                    $logowanie -> wyswietl();
                }
                else
                {
                    session_regenerate_id(); //przy każdym logowaniu zmienia klucz sesji. Zwraca 1 jeśli funkcja zmieniła klucz, a 0 jeśli nie.
                    $_SESSION['id'] = session_id(); //zapisujemy generowany klucz do zmiennej.
                    $_SESSION['user'] = $this -> login;
                    echo "Jestes zalogowany jako <b>" .$_SESSION['user']. " - <a href=log2.php>przejdz dalej</a> lub <a href=log.php?wyloguj=1>wyloguj sie";
                }    
        }
        
        //Jeśli przejmujemy zmienną "wyloguj" z parametrem "1" i gdy user jest zalogowany, to wylogowujemy go. Niszczymy sesję i robimy przekierowanie na stronę logowania.
        else if ($_GET['wyloguj']==1 && $_SESSION['user'] && $_SESSION['id'])
        {
            session_unset();
            session_destroy();
            header('Location: log.php');    
        }
        
        //Jeśli user jest już zalogowany, to wywalamy mu komunikat :)
        else if ($_SESSION['id'] && $_SESSION['user']) 
        {
            echo "Jestes zalogowany jako <b>" .$_SESSION['user']. "</b> o id = " .$_SESSION['id']. " - <a href=log2.php>przejdz dalej</a> lub <a href=log.php?wyloguj=1>wyloguj sie";
        }
        
        //Jeśli to pierwsze wywołanie tej strony, bez żadnych parametrów, to wyświetlamy formularz logowania.
        else
        {
            $logowanie = new form_logowania();
            $logowanie -> wyswietl();
        }
    
    }    
}
 
 
?>
[PHP] pobierz, plaintext 

Wyskakuje coś takiego:



1. Dziwne, że ten sam skrypt działa np. TUTAJ i nie wyrzuca mi żadnych błędów (login: zmija, hasło: zmija). Jeśli chodzi o localhost, to zmieniłem jedynie dane do połączenia z bazą, żeby działało na localu. Reszta kodu bez zmian.
2. Jeżeli chodzi o drugi komunikat, to przeczytałem to co pisze TUTAJ i działa tylko z ob_start() i ob_end_flush(). Zmiana output_buffering na "On" w php.ini nic nie dała.
3. Co do błędu pierwszego, to już w ogóle pojęcia nie mam o co chodzi.

Wie ktoś co może być przyczyną?

Przestań zawracać ludziom głowy i popatrz na swój własny kod.

[PHP] pobierz, plaintext 
<?php
$baza_conn = new baza_conn();
$baza_conn -> polacz();
 
// wybieramy dane z naszej tabeli
$zapytanie = "SELECT login, haslo FROM loginy WHERE login = '" .$this -> login. "' AND haslo = '" .md5($this -> haslo). "'";
$idzapytania = mysql_query($zapytanie);
           
//do zmiennej wrzucamy ilość wierszy jaką zwróciło zapytanie do bazy
$czy_jest = mysql_num_rows($idzapytania);
           
// zamykamy połączenie
mysql_close($connection);
?>
[PHP] pobierz, plaintext 

A drugi błąd wynika z pierwszego.

Nie zapominaj o przefiltrowaniu danych pochądzących z formularzy.
Jak wysyłasz coś do bazy danych to zastosuj funkcję addslashes() lub mysql_real_escape_string() (może ktoś podpowie której z tych funkcji powinno się używać?).
Jeśli używasz addslashes() to należy pamiętać, aby po pobraniu danych z bazy zastosować funkcje stripslashes().
Nie możesz polegać na mechaniźmie magic_quotes_gpc ponieważ będzie on wycofany z PHP 6!

Dzięki za naprowadzenie, poradziłem już sobie. Czasem człowiek robi głupie błędy... ale to nie znaczy, że masz się do niego zwracać w ten sposób. Moża było posta napisać bez tej głupiej docinki.

@gcdreak: Dzięki za podpowiedź, choć o filtrowaniu już myślałem wcześniej Podłączam się do twojego pytania - addslashes() czy mysql_real_escape_string()?