Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: Problem z sesją w PHP - Nie mogę się odnieść do id użytkownika
Forum PHP.pl > Forum > PHP
Baku12345
20.09.2016, 06:12:41
Witam
Działanie mojego skryptu ma być proste, ma polegać na tym, że po zalogowaniu się danego użytkownika wyświetli mu się lista kursów ze statusami do których ma dostęp a do których nie.

Mam w bazie między innymi takie tabele jak:
- users (id, name, login, password) - tabela przechowuje dane użytkownika
- courses (id, lp, name, url, category_id) - tabela przechowuje kursy, linki do nich i id kategorii do jakiej należy dany kurs
- access_courses (id, id_user, id_course, status) - tabela przechowuje informacje który użytkownik ma dostęp do którego kursu i wyświetla odpowiedni status

To mi działa w połączeniu z kodem, który sobie napisałem, ale problem jest w linii 75. Dokładnie w zapytaniu
[SQL] pobierz, plaintext 
  1. SELECT * FROM courses c, access_courses ac WHERE ac.id_user = $_SESSION['id'] && ac.id_course = c.id ORDER BY lp ASC
[SQL] pobierz, plaintext

Jeżeli to wstawię to jest problem, natomiast jeżeli wstawię na sztywno id użytkownika np. tak
[SQL] pobierz, plaintext 
  1. SELECT * FROM courses c, access_courses ac WHERE ac.id_user = 1 && ac.id_course = c.id ORDER BY lp ASC
[SQL] pobierz, plaintext

to wszystko jest idealnie. Jednak tak jak wspomniałem będzie więcej użytkowników i id chcę pobierać z sesji.

Poniżej umieszczam swój fragment kodu. Proszę o przeanalizowanie go i podpowiedź jak to naprawić. 


[PHP] pobierz, plaintext 
  1. <?php
  2.     .
  3.     . // tu nieistotny fragment kodu
  4.     .
  5.     if (isset($_POST['login']) && isset($_POST['password']))
  6.         {
  7.             if (!empty($_POST['login']) && !empty($_POST['password']))
  8.                 {
  9.                     $login = addslashes(strip_tags($_POST['login']));
  10.                     $password = addslashes(strip_tags(md5($_POST['password'])));
  11.  
  12.                     $stmt = $pdo->prepare("SELECT * FROM users where login = '".$login."' && password = '".$password."';");
  13.                     $stmt->execute();
  14.  
  15.                     if ($row = $stmt->fetchAll(PDO::FETCH_ASSOC))
  16.                         {
  17.                             $_SESSION['id'] = $row['id'];
  18.                             $_SESSION['online'] = 1;
  19.                             $_SESSION['time'] = time();
  20.                             $_SESSION['user'] = $login;
  21.                             $_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
  22.                         }
  23.                     else
  24.                         {
  25.                             $logon = new cTemplate;
  26.  
  27.                             $logon->assign['msg'] = "podałeś błędny login lub hasło!<br>spróbuj ponownie";
  28.                             $page->assign['container'] = $logon->parse("templates/logon.html");
  29.                             $page->assign['title'] = "Logowanie";
  30.                             $main->assign['page'] = $page->parse("templates/page.html");
  31.                             echo $main->parse("templates/index.html");
  32.                             exit;
  33.                         }
  34.                 }
  35.             else
  36.                 {
  37.                     $logon = new cTemplate;
  38.  
  39.                     $logon->assign['msg'] = "nie wprowadziłeś wszystkich danych<br>spróbuj ponownie";
  40.                     $page->assign['container'] = $logon->parse("templates/logon.html");
  41.                     $page->assign['title'] = "Logowanie";
  42.                     $main->assign['page'] = $page->parse("templates/page.html");
  43.                     echo $main->parse("templates/index.html");
  44.                     exit;
  45.                 }
  46.         }
  47.  
  48.     if (isset($_SESSION['online']) && isset($_SESSION['time']) && $_SESSION['user'] && ($_SESSION['online']===1))
  49.         {
  50.             if (time()-$_SESSION['time'] < 900)
  51.                 {
  52.                     $_SESSION['time'] = time();
  53.  
  54.                     if (!isset($_GET['action']))
  55.                         {
  56.                             $_GET['action'] = "";
  57.                         }
  58.  
  59.                     .
  60.                     . // tu nieistotny fragment kodu
  61.                     .
  62.  
  63.                     switch ($_GET['action'])
  64.                         {
  65.                             default:
  66.                                 if (isset($_GET['cat_id']))
  67.                                     {
  68.                                         $cat_id = $_GET['cat_id'];
  69.  
  70.                                         $stmt = $pdo->prepare("SELECT * FROM courses c, access_courses ac WHERE ac.id_user = 1 && ac.id_course = c.id && c.category_id = $cat_id ORDER BY lp ASC");
  71.                                         $stmt->execute();
  72.                                     }
  73.                                 else
  74.                                     {
  75.                                         $stmt = $pdo->prepare("SELECT * FROM courses c, access_courses ac WHERE ac.id_user = $_SESSION['id'] && ac.id_course = c.id ORDER BY lp ASC");
  76.                                         $stmt->execute();
  77.                                     }
  78.  
  79.                                 .
  80.                                 . // tu fragment wyświetlający listę kursów dostępnych dla danego użytkownika
  81.                                 .
  82.                         }
  83.  
  84.                     $page->assign['container'] = $panel->parse("templates/panel.html");
  85.                 }
  86.             else
  87.                 {
  88.                     $logon = new cTemplate;
  89.  
  90.                     $logon->assign['msg'] = "przekroczono czas bezczynności<br>zaloguj się ponownie";
  91.                     $page->assign['container'] = $logon->parse("templates/logon.html");
  92.                     $page->assign['title'] = "Logowanie";
  93.                 }
  94.         }
  95.     else
  96.         {
  97.             $logon = new cTemplate;
  98.  
  99.             $logon->assign['msg'] = "<br>podaj login i hasło<br>";
  100.             $page->assign['container'] = $logon->parse("templates/logon.html");
  101.             $page->assign['title'] = "Witaj na portalu";
  102.         }
  103.  
  104.     $main->assign['page'] = $page->parse("templates/page.html");
  105.  
  106.     echo $main->parse("templates/index.html");
  107. ?>
[PHP] pobierz, plaintext


Wydaje mi się że problem może być z tym że sesja nie jest globalna, ale może się mylę. Proszę o pomoc.
Z góry bardzo dziękuję.
viking
20.09.2016, 06:28:54
Twój kod w tym miejscu:
[PHP] pobierz, plaintext 
  1.                     $stmt = $pdo->prepare("SELECT * FROM users where login = '".$login."' && password = '".$password."';");
[PHP] pobierz, plaintext

Jest totalnie beznadziejny. Czytałeś dokumentację? Twoje zapytanie nie jest bezpieczne i mija się z celem takie używanie prepare. Usuwanie znaków z hasła też specjalnie mądre nie jest. Ach, i jeszcze md5. Poważnie? Czasy PHP4 już dawno minęły. Teraz się używa http://php.net/manual/en/function.password-hash.php

Co zwraca $_SESSION['id'] przed tym zapytaniem?
Baku12345
20.09.2016, 20:20:07
Dzięki za sugestię dotyczącą tego logowania, poczytam. Co do tego co zwraca session['id'], to zakomentowałem wszystko co znajduje się w default i wstawiłem tylko linijkę

[PHP] pobierz, plaintext 
  1. $panel->assign['content'] = "$_SESSION['id']";
[PHP] pobierz, plaintext


Po uruchomieniu skryptu wystąpił komunikat błędu 
[PHP] pobierz, plaintext 
  1. Parse error: syntax error, unexpected '' (T_ENCAPSED_AND_WHITESPACE), expecting identifier (T_STRING) or variable (T_VARIABLE) or number (T_NUM_STRING) in C:\Xampp\htdocs\www\test\index.php on line 87
[PHP] pobierz, plaintext


Kiedy wstawię linijkę bez cudzysłowia

[PHP] pobierz, plaintext 
  1. $panel->assign['content'] = $_SESSION['id'];
[PHP] pobierz, plaintext


to strona ładuje się prawidłowo, ale w zmiennej sesji nie wyświetla się nic, tak jakby nie przyszła.
viking
20.09.2016, 20:28:49
var_dump($_SESSION['id']);
kpt_lucek
20.09.2016, 20:56:02
Głupie pytanie...

A dajesz:
[PHP] pobierz, plaintext 
  1. session_start();
[PHP] pobierz, plaintext
Baku12345
20.09.2016, 23:25:41
Tak session_start daję smile.gif

Skróciłem jeszcze bardziej swój kod i lekko przerobiłem, co by jeszcze bardziej zawęzić problem i żeby każdy mógł go przetestować. Teraz wygląda on tak

Skrócona wersja mojego kodu

[PHP] pobierz, plaintext 
  1. <?php
  2.     session_start();
  3.  
  4.     $pdo = new PDO('mysql:host=localhost; port=3306; dbname=test', 'root', '');
  5.  
  6.     $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
  7.     $pdo->exec("SET NAMES 'utf8'");
  8.  
  9.     if (isset($_POST['login']) && isset($_POST['password']))
  10.         {
  11.             if (!empty($_POST['login']) && !empty($_POST['password']))
  12.                 {
  13.                     $login = addslashes(strip_tags($_POST['login']));
  14.                     $password = addslashes(strip_tags(md5($_POST['password'])));
  15.  
  16.                     $stmt = $pdo->prepare("SELECT * FROM users where login = '".$login."' && password = '".$password."';");
  17.                     $stmt->execute();
  18.  
  19.                     if ($row = $stmt->fetchAll(PDO::FETCH_ASSOC))
  20.                         {
  21.                             $_SESSION['id'] = $row['id'];
  22.                             $_SESSION['online'] = 1;
  23.                             $_SESSION['time'] = time();
  24.                             $_SESSION['user'] = $login;
  25.                         }
  26.                     else
  27.                         {
  28.                             echo "Podałeś błędny login lub hasło";
  29.                             exit;
  30.                         }
  31.                 }
  32.             else
  33.                 {
  34.                     echo "Nie wprowadzłeś wszystkich danych";
  35.                     exit;
  36.                 }
  37.         }
  38.  
  39.     if (isset($_SESSION['id']) && isset($_SESSION['online']) && isset($_SESSION['time']) && $_SESSION['user'] && ($_SESSION['online']===1))
  40.         {
  41.             if (time()-$_SESSION['time'] < 900)
  42.                 {
  43.                     $_SESSION['time'] = time();
  44.  
  45.                     if (!isset($_GET['action']))
  46.                         {
  47.                             $_GET['action'] = "";
  48.                         }
  49.  
  50.                     switch ($_GET['action'])
  51.                         {
  52.                             default:
  53.                                 var_dump($_SESSION['id']);
  54.                             break;
  55.                         }
  56.                 }
  57.             else
  58.                 {
  59.                     echo "Przekroczono czas bezczynności";
  60.                 }
  61.         }
  62.     else
  63.         {
  64.             echo "<h1>Panel Użytkownika</h1>
  65.                   <form method='post' action=''>
  66.                     <div>
  67.                         <input type='text' name='login' placeholder='Twój login' value=''>
  68.                     </div>
  69.                     <div>
  70.                         <input type='password' name='password' placeholder='Twoje hasło' value=''>
  71.                     </div>
  72.                         <button type='submit'>Zaloguj się</button>
  73.                    </form>";
  74.         }
  75. ?>
[PHP] pobierz, plaintext



Do panelu nie da się zalogować, ponieważ nie przychodzi id. Wartość id to null. Widać to kiedy w linii 39 zamiast 
[PHP] pobierz, plaintext 
  1. isset($_SESSION['id'])
[PHP] pobierz, plaintext

wstawimy 
[PHP] pobierz, plaintext 
  1. !isset($_SESSION['id'])
[PHP] pobierz, plaintext

Wtedy się zalogujemy a var_dump zwróci NULL. W czym problem?
kpt_lucek
20.09.2016, 23:47:03
Zrób print_r/var_dump z $row = $stmt->fetchAll(PDO::FETCH_ASSOC)
Baku12345
21.09.2016, 04:10:24
Wprowadziłem chwilowo taki kod pomiędzy default a break

[PHP] pobierz, plaintext 
  1. default:
  2.     var_dump($_SESSION['id']);
  3.     var_dump($_SESSION['online']);
  4.     var_dump($_SESSION['time']);
  5.     var_dump($_SESSION['user']);
  6.     echo "<br>----------------------------------<br>";
  7.     print_r ($row = $stmt->fetchAll(PDO::FETCH_ASSOC));
  8. break;
[PHP] pobierz, plaintext


Wynik w przeglądarce taki
[HTML] pobierz, plaintext 
  1. Notice: Undefined index: id in C:\Xampp\htdocs\www\test\index.php on line 21
  2. NULL int(1) int(1474426757) string(7) "Testowy" 
  3. ----------------------------------
  4. Array ( )
[HTML] pobierz, plaintext


PS: Oczywiście, żeby w ogóle zobaczyć jakiekolwiek wyniki pomiędzy default a break to musiałem na chwilę zmienić 
[PHP] pobierz, plaintext 
  1. isset($_SESSION['id']) 
[PHP] pobierz, plaintext
na 
[PHP] pobierz, plaintext 
  1. !isset($_SESSION['id'])
[PHP] pobierz, plaintext
bo to z nim mam cały czas problem.
Star
21.09.2016, 05:29:27
W jakim celu dajesz tutaj średnik? Nie mam na myśli tego na końcu tylko tego przed ostatnim cudzyslowiem - >

[PHP] pobierz, plaintext 
  1.  
  2. prepare("SELECT * FROM users where login = '".$login."' && password = '".$password."';");
[PHP] pobierz, plaintext


Może to jest przyczyną błędu
viking
21.09.2016, 07:05:03
To teraz jeszcze var_dump($row).
fetchAll zwraca tablicę a nie pojedynczy rekord.
daro0
21.09.2016, 09:20:32
No rozpacz sad.gif 

[PHP] pobierz, plaintext 
  1.     <?php
  2.         session_start();
  3.         $now = time();
  4.         $session_key = 'auth_user';
  5.  
  6.         if ($_SERVER['REQUEST_METHOD'] == 'POST')
  7.         {
  8.             $host = 'localhost';
  9.             $dbname = 'mojabaza';
  10.             $user = 'root';
  11.             $passwd = 'root';
  12.  
  13.             $dsn = 'mysql:host='. $host . '; dbname=' . $dbname;
  14.             $pdo = new PDO($dsn, $user, $passwd);
  15.  
  16.             //akurat taka sól jest użyta w celu hashowania hasła w mojej testowej bazie
  17.             $salt = 'gj5PxmUt8CAbcnS2';
  18.             $login = $_POST['login'];
  19.             //test na PHP 5.4 (tam nie ma password_hash :-) )
  20.             $password = hash_hmac('sha256', $_POST['password'], $salt);
  21.  
  22.             //akurat takie pola mam w bazie czyli username i password jako SHA-256
  23.             $stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username AND password = :password");
  24.             $stmt->execute(array(':username' => $login, ':password' => $password));
  25.  
  26.             if ($row = $stmt->fetch(PDO::FETCH_ASSOC))
  27.             {
  28.                 $session_data = array(
  29.                     'time' => $now,
  30.                     'user' => $row
  31.                     );
  32.  
  33.                 $_SESSION[$session_key] = $session_data;
  34.             }
  35.             else
  36.             {
  37.                 echo "Blad logowania";
  38.                 exit;
  39.             }
  40.         }
  41.  
  42.         $max_idle_time = 30;
  43.         // czy nie wystarczy tylko sprawdzanie po tym questionmark.gifquestionmark.gifquestionmark.gif
  44.         if (isset($_SESSION[$session_key]) && !empty($_SESSION[$session_key]))
  45.         {
  46.                 if ($now - $_SESSION[$session_key]['time'] < $max_idle_time)
  47.                 {
  48.                     $_SESSION[$session_key]['time'] = $now;
  49.                     echo "Jestes zalogowany";
  50.                 }
  51.                 else
  52.                 {
  53.                     echo "Przekroczono czas bezczynnosci";
  54.                     session_destroy();
  55.                 }
  56.         }
  57.         else
  58.         {
  59.                 echo '<h1>Panel Uzytkownika</h1>
  60.                       <form method="post" action="">
  61.                         <div>
  62.                             <input type="text" name="login" placeholder="Twoj login" value="">
  63.                         </div>
  64.                         <div>
  65.                             <input type="password" name="password" placeholder="Twoje haslo" value="">
  66.                         </div>
  67.                             <button type="submit">Zaloguj sie</button>
  68.                        </form>';
  69.         }
  70.     ?>
[PHP] pobierz, plaintext


Testowałem to na jednej ze swoich baz na localhoście, Ty musisz dostosować (pola), jak i hasła (sposób hashowania) do swojej.
kpt_lucek
21.09.2016, 13:00:06
Cytat(viking @ 21.09.2016, 08:05:03 ) *
To teraz jeszcze var_dump($row).
fetchAll zwraca tablicę a nie pojedynczy rekord.

Pisałem o tym wyżej tongue.gif

Autor tematu widać nie do końca złapał o co chodzi smile.gif
Baku12345
22.09.2016, 06:52:05
Dziękuję Wam wszystkim za odpowiedzi, wcześniej nie miałem czasu odpisać. Udało mi się wreszcie poprawić ten kod, głównie dzięki zmianom wprowadzonym na podstawie skryptu daro0. Nie była to wina średnika na końcu zapytania, jak sugerował Star, choć faktycznie był zbędny smile.gif

Co do tego co zwracał var_dump($row) to zwracał wszystko co trzeba było czyli

[HTML] pobierz, plaintext 
  1. Notice: Undefined index: id in C:\Xampp\htdocs\www\test\index.php on line 23
  2.  
  3. Notice: Undefined index: name in C:\Xampp\htdocs\www\test\index.php on line 25
  4. array(1) { [0]=> array(4) { ["id"]=> string(1) "1" ["name"]=> string(12) "Użytkownik1" ["login"]=> string(7) "Testowy" ["password"]=> string(32) "f86bdb19deb2c5ab632734b8d884ce06" } }
[HTML] pobierz, plaintext


no może bez tego notice tego nie trzeba było smile.gif Dlatego się dziwiłem, bo w tablicy id i name było a warunek nie był spełniony co skutkowało tym, że nie można się było zalogować i żeby zobaczyć co wyświetla var_dump to musiałem zmienić 
[PHP] pobierz, plaintext 
  1. isset($_SESSION['id'])
[PHP] pobierz, plaintext
na 
[PHP] pobierz, plaintext 
  1. !isset($_SESSION['id'])
[PHP] pobierz, plaintext
i się okazywało, że jednak id przyszło smile.gif

Ogólnie to mógłbym już dać wszystkim pomógł i można by zamknąć temat, ale dalej nie wiem co było przyczyną tych problemów w tamtej wersji mojego uproszczonego kodu. Czy mógłby mi ktoś wyjaśnić?

Stara wersja zawierała
[PHP] pobierz, plaintext 
  1. if ($row = $stmt->fetchAll(PDO::FETCH_ASSOC))                   
  2.          {
  3.               $_SESSION['id'] = $row['id'];
  4.               $_SESSION['time'] = time();
  5.               $_SESSION['user'] = $row['name'];
  6.          }
[PHP] pobierz, plaintext

oraz
[PHP] pobierz, plaintext 
  1. if (isset($_SESSION['id']) && isset($_SESSION['time']) && isset($_SESSION['name']))
  2.         {
  3.             if (time()-$_SESSION['time'] < 900)            
  4.                 {
  5.                     $_SESSION['time'] = time();
  6.                     var_dump($row);
  7.                 }
  8.          }
[PHP] pobierz, plaintext


Nowa wersja zawiera
[PHP] pobierz, plaintext 
  1. $sessionauth = "";
[PHP] pobierz, plaintext

oraz
[PHP] pobierz, plaintext 
  1.  
  2. if ($row = $stmt->fetch(PDO::FETCH_ASSOC))
  3.          {
  4.                $x = array('id' => $row['id'], 'time' => time(), 'user' => $row['name']);
  5.  
  6.                $_SESSION[$sessionauth] = $x;
  7.          }
[PHP] pobierz, plaintext

i to
[PHP] pobierz, plaintext 
  1. if (isset($_SESSION[$sessionauth]) && !empty($_SESSION[$sessionauth]))
  2.         {         
  3.             if (time()-$_SESSION[$sessionauth]['time'] < 900)
  4.                 {                
  5.                     $_SESSION[$sessionauth]['time'] = time();
  6.                     var_dump($row);
  7.                 }
  8.             else
  9.                 {
  10.                     echo "Przekroczono czas bezczynności";
  11.                 }
  12.         }
[PHP] pobierz, plaintext


I to działa. W czym więc był problem??
viking
22.09.2016, 07:09:18
Chyba czytasz co się do ciebie pisze?

Cytat
array(1) { [0]=> array(4) { ["id"]=> string(1) "1" ["name"]=> string(12) "Użytkownik1" ["login"]=> string(7) "Testowy" ["password"]=> string(32) "f86bdb19deb2c5ab632734b8d884ce06" } }


Masz tutaj tablicę.

[PHP] pobierz, plaintext 
  1. $_SESSION['id'] = $row[0]['id'];
[PHP] pobierz, plaintext


Fetch zwraca już pojedynczy rekord stąd jest dobrze. Jeszcze strzelam że zapewne brakuje ci kluczy (np unikalnego na login), oraz mógłbyś dodać LIMIT w zapytaniu.
Baku12345
22.09.2016, 21:50:17
A no faktycznie głupi błąd, powinienem był pobrać tylko jeden wiersz spełniający warunek czyli wstawić
[PHP] pobierz, plaintext 
  1. $_SESSION['id'] = $row[0]['id'];
  2. $_SESSION['user'] = $row[0]['name'];
[PHP] pobierz, plaintext

zamiast
[PHP] pobierz, plaintext 
  1. $_SESSION['id'] = $row['id'];
  2. $_SESSION['user'] = $row['name'];
[PHP] pobierz, plaintext


Poza tym błąd miałem w warunku pobierałem 
[PHP] pobierz, plaintext 
  1. if (isset($_SESSION['id']) && isset($_SESSION['time']) && isset($_SESSION['name']))
[PHP] pobierz, plaintext

zamiast
[PHP] pobierz, plaintext 
  1. if (isset($_SESSION['id']) && isset($_SESSION['time']) && isset($_SESSION['user']))
[PHP] pobierz, plaintext


Dzięki wszystkim za podpowiedzi, teraz działają mi już obie wersje skryptu smile.gif

Mam jeszcze tylko jedno ostatnie pytanko odnośnie
Usuwanie znaków z hasła też specjalnie mądre nie jest.

Teraz mój kod w części odpowiadającej za logowanie wygląda tak

[PHP] pobierz, plaintext 
  1. if (isset($_POST['login']) && isset($_POST['password']))
  2.         {
  3.             if (!empty($_POST['login']) && !empty($_POST['password']))
  4.                 {
  5.                     $login = addslashes(strip_tags($_POST['login']));
  6.                     $password = hash_hmac('sha256', $_POST['password'], '2NYbH5qS8J');
  7.  
  8.                     $stmt = $pdo->prepare("SELECT * FROM users WHERE login = :login && password = :password");
  9.                     $stmt -> execute(array(':login' => $login, ':password' => $password));
  10.  
  11.                     if ($row = $stmt->fetch(PDO::FETCH_ASSOC))
  12.                         {
  13.                             $_SESSION[$session_data] = array('id' => $row['id'], 'time' => $now, 'user' => $row['name']);
  14.                         }
  15.                     else
  16.                         {
  17.                             echo "Podałeś błędny login lub hasło";
  18.                             exit;
  19.                         }
  20.                 }
  21.             else
  22.                 {
  23.                     echo "Nie wprowadzłeś wszystkich danych";
  24.                     exit;
  25.                 }
  26.         }
[PHP] pobierz, plaintext


Czy teraz jest już ok, w sensie bezpiecznie? Czy addslashes i strip_tags przy loginie jest uzasadnione czy może pominąć? I podobne pytanie przy haśle czy dodać addslashes? A jeśli tak to w takiej formie
[PHP] pobierz, plaintext 
  1. addslashes(hash_hmac('sha256', $_POST['password'], '2NYbH5qS8J'));
[PHP] pobierz, plaintext

czy takiej
[PHP] pobierz, plaintext 
  1. hash_hmac('sha256', addslashes($_POST['password']), '2NYbH5qS8J');
[PHP] pobierz, plaintext


Jeszcze raz dzięki za odpowiedzi, to już ostatnie moje pytanie w tym temacie smile.gif
daro0
23.09.2016, 06:55:09
No to sobie sprawdź co Ci wypluje hash_hmac, bez względu na to jakie hasło wpiszesz i bez względu na to jak je obrabiasz w PHP. W przypadku SHA-256 będzie to coś tego typu:

e9f379a548dc29a242759944decc45702cbbb000f65b163e46ca7ae210161df2

I zawsze będzie miało długość 64 znaków tylko te literki i cyferki będą inne. Będziesz kombinował to się nawet nie zalogujesz, bo to co porównujesz będzie inne. No i w tym przypadku nawet jak gdzieś tam zmienisz sól a masz hasła zapisane na poprzednią, to też już się nie zalogujesz.


Baku12345
23.09.2016, 20:37:53
To wiem, że zawsze po obrobieniu hasła, zmianie soli czy kodu odpowiedzialnego za hashowanie te znaki się zmienią i zmieniając to muszę potem do bazy wstawić nowe zahashwane hasło. Tutaj bardziej chodziło mi o bezpieczeństwo skryptu, bazy i formularzy, bo viking napisał w drugim poście "Usuwanie znaków z hasła też specjalnie mądre nie jest.", a ja dodałem addslashes i strip_tags żeby uniemożliwić wprowadzenie i wykonanie ewentualnego złośliwego kodu. Kiedyś się uczyłem, żeby tak robić, ale wtedy nie używałem PDO. Z tąd to pytanie czy dodawać to do loginu i hasła czy nie, a jak tak to w jakiej formie tej pierwszej czy drugiej.
daro0
24.09.2016, 06:16:49
No cóż, z tego co widać to nie takie proste...
http://stackoverflow.com/questions/134099/...t-sql-injection

Może się ktoś do tego odnieść?
To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.