Witam, może mi ktoś pomóc i powiedzieć, która wersja jest poprawna lub, której lepiej użyć żeby zapewnić sobie minimum bezpieczeństwa przy logowaniu ? Zrobiłem dwie wersje, ale jakoś bardziej poprawnie wygląda mi druga wersja. Mogę prosić o jakieś podpowiedzi, sugestie odnośnie kodu ?

[PHP] pobierz, plaintext 
if(isset ($_POST["wyslij"])){
 $user = $_POST['user']; 
 $password = $_POST['password'];
  $logowanie = mysql_query ("select login,haslo from user_cms where login='" . mysql_real_escape_string($user)."' and haslo='" . mysql_real_escape_string($password)."' and status=1");
   if(mysql_num_rows($logowanie)==1) {
    $_SESSION["isLoggedIn"]=1;  
    $_SESSION["login"]=$user;  
  } 	
 } 
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
if(isset ($_POST["wyslij"])){
 $user = mysql_real_escape_string($_POST['user']); 
 $password = mysql_real_escape_string($_POST['password']); 
  $logowanie = mysql_query ("select login,haslo from user_cms where login='$user' and haslo='$password' and status=1");
   if(mysql_num_rows($logowanie)==1) {
    $_SESSION["isLoggedIn"]=1;  
    $_SESSION["login"]=$user;  
  } 	
 }
 
[PHP] pobierz, plaintext 

Wychodzi na to samo.
Ewentualnie do $_POST addslashes, chociaż i tak jest to już zbędne.

[PHP] pobierz, plaintext 
if(isset ($_POST["wyslij"])){
 $user = addslashes($_POST['user']);
 $password = addslashes($_POST['password']);
  $logowanie = mysql_query ("select login,haslo from user_cms where login='" . mysql_real_escape_string($user)."' and haslo='" . mysql_real_escape_string($password)."' and status=1");
   if(mysql_num_rows($logowanie)==1) {
    $_SESSION["isLoggedIn"]=1;  
    $_SESSION["login"]=$user;  
  } 	
 }
[PHP] pobierz, plaintext 

Największe bezpieczeństwo gwarantuje Ci jednak użycie biblioteki PDO.

Według mnie nie ma różnicy, oprócz tego, że w drugim kodzie dodatkowo marnujesz czas i ram na przypisywanie danych do zmiennych. To tak jakbyś spytał jaka jest różnica między

[PHP] pobierz, plaintext 
<?php 
$txt = 'Hello World!';
echo $txt;
?>
[PHP] pobierz, plaintext 

a

[PHP] pobierz, plaintext 
<?php
echo 'Hello World!';
?>
[PHP] pobierz, plaintext 

Myślałem właśnie nad dodaniem jeszcze "addslashes", ale czy to nie jest już tak trochę nawyrost i nie wpłynie to bardziej na bezpieczeństwo ?


Wiem, że PDO byłoby lepsze, ale jednak chciałbym jeszcze przerobić ten temat.

Nie ma co mieszać funkcji PHP w zapytaniach MySQL, przypisanie ich do zmiennych znacznie zwiększy czytelność kodu.

[PHP] pobierz, plaintext 
if(isset ($_POST["wyslij"])){
 $user = mysql_real_escape_string($_POST['user']); 
 $password = mysql_real_escape_string($_POST['password']); 
  $logowanie = mysql_query ("select login,haslo from user_cms where login='$user' and haslo='$password' and status=1");
   if(mysql_num_rows($logowanie)==1) {
    $_SESSION["isLoggedIn"]=1;  
    $_SESSION["login"]=$user;  
  } 	
 }
[PHP] pobierz, plaintext 

or

[PHP] pobierz, plaintext 
if(isset ($_POST["wyslij"])){
 $user = addslashes($_POST['user']); 
 $password = addslashes($_POST['password']); 
  $logowanie = mysql_query ("select login,haslo from user_cms where login='$user' and haslo='$password' and status=1");
   if(mysql_num_rows($logowanie)==1) {
    $_SESSION["isLoggedIn"]=1;  
    $_SESSION["login"]=$user;  
  } 	
 }
[PHP] pobierz, plaintext 

Kompletny bezsens, przecież to nie ma w ogóle żadnego znaczenia, której metody użyjesz bo obie niczym się nie różnią (z punktu widzenia praktycznego).

Po co addslashes skoro używamy już mysql_real_escape_string ?
Polecam do przeczytania: mysql_real_escape_string vs. addslashes

PDO jest najlepszym rozwiązaniem. Po co tworzyć skrypt na module mysql_* skoro można od razu użyć PDO, przy okazji zaznajomić się z jego użyciem i nie głowić się nad bezpieczeństwem?

Też mi się tak wydawało, że dodanie addslashes do escape_string już nie jest potrzebne.

A natomiast jeżeli już użytkownik się zaloguje to przy wysyłaniu czegoś do bazy przez POST używać wtedy addslashes bez escape_string tak żeby można było w tekscie stosować " ' " dobrze myślę ?


Jak pisałem wcześniej zdaję sobie sprawę, że PDO będzie najlepszym wyjściem, ale niestety nie jest to pisanie skryptu od nowa tylko przerabianie, który był stworzony wcześniej, a obecnie nie mam tyle czasu, że przerobić wszystko na PDO.


Więc jak wywnioskowałem z Waszych odpowiedzi mam zostać przy tej wersji:

[PHP] pobierz, plaintext 
if(isset ($_POST["wyslij"])){
 
 $user = mysql_real_escape_string($_POST['user']); 
 
 $password = mysql_real_escape_string($_POST['password']); 
 
  $logowanie = mysql_query ("select login,haslo from user_cms where login='$user' and haslo='$password' and status=1");
 
   if(mysql_num_rows($logowanie)==1) {
 
    $_SESSION["isLoggedIn"]=1;  
 
    $_SESSION["login"]=$user;  
 
  } 	
 
 }
[PHP] pobierz, plaintext 

mysql_real_escape_string do operacjach na bazach danych, addslashes wszystkich innych na stringach.

Spokojnie. Wszystko jest odwracalne przez stripslashes