Forum PHP.pl > [PHP]Logowanie i Sesje

Pomoc - Szukaj - Użytkownicy - Kalendarz

set4812

26.09.2010, 00:25:52

Mam skrypt logowania napisany który działa poprawnie. Przypisuje w sesji id do id uzytkownika z bazy. W związku z tym mam kilka pytan , czy istnieje jakas mozliwosć żeby ktoś sobie wpisał session['id']=1 i sie zalogował pod uzytkownikiem nr 1 w bazie oraz czy istnieje mozliwosc wyciagniecia specyficznego ciagu znaków z sesji i wciagniecia do bazy i porównania z sesjami u uzytkownika??
Pozdrawiam set4812

kamillo121

26.09.2010, 10:42:55

No pewnie

Zrób sobie tabelę w bazie danych np "sesje' tam będziesz przechowywał nr id sesji id usera itd i porównywał z danymi ze sesji.
Wtedy masz już większą pewność, że nikt nie podmieni sesji

A co do tego ciągu, to możesz np md5 albo sha1 zmielić IP usera przeglądarkę i aktualny czas i to by był taki hash, potem zapisujesz go w tabeli sesje w mysql i u usera w session i porównujesz

dethim

26.09.2010, 11:34:42

pokaz skrypt to zobaczymy

set4812

26.09.2010, 15:02:49

[PHP] pobierz, plaintext 
<?php
session_start();
function logowanie(){
if(!isset ($_POST['logowanie'])){
echo '<center><form action="index.php" method="post">
<font color="red"><B> Login</B></font><input type="text" name="user" size="15"><br/>
<B><font color="red">Hasło</font></B><input type="password" name="pass" size="15"><br/>
<input type="submit" value="Zaloguj" name="logowanie" ></form></center>
<a href="index.php?id=register">REJESTRACJA</a>
';}
else {
$pass=$_POST['pass'];
$login=$_POST['user'];
 
if(isset ($_POST['logowanie']))
{
$link = mysql_connect('localhost', 'root', '');
$result = mysql_select_db('forum');
$query= 'SELECT * FROM uzytkownicy';
$z=mysql_query($query);
while ($row=mysql_fetch_assoc($z))
{
if ($login==$row['login'] and $pass==$row['haslo']){
$_SESSION['id'] = $row['id'];
echo '<html><head><meta http-equiv="refresh" content="0;url=http://localhost/raporty/index.php"/></head><body></body></html>'; 
 
										}
else{
echo "zla nazwa lub haslo uzytkownika";
 echo '<html><head><meta http-equiv="refresh" content="3;url=http://localhost/raporty/index.php"/></head><body></body></html>'; 
}}}}}
function zalogowany(){
		$link = mysql_connect('localhost', 'root', '');
$result = mysql_select_db('forum');
 
$query= 'SELECT * FROM uzytkownicy WHERE id='.$_SESSION['id'].'';
$z=mysql_query($query);
while ($row=mysql_fetch_assoc($z))
echo 'Witaj <b>'.$row['login'].'</b><br/>';
echo '<a href="index.php?id=katalogi">Katalogi</a><br/>';
echo '<a href="index.php?id=news">Newsy</a>';
}
 
 
if(!isset($_SESSION['id']))
	{
		$_SESSION['id'] = 0;
		logowanie();
		}
		else if($_SESSION['id'] == 0) {logowanie();}
 
if($_SESSION['id'] > 0) {zalogowany();} 
 
?>
[PHP] pobierz, plaintext

Kod do optymalizacji całkowitej

. Bede go przerabiał na klasę. Co w nim mozna znienic zeby bardziej zabezpieczyć

bastard13

26.09.2010, 15:18:37

Sesji nikt ci nie nadpisze. Nie ma możliwości żebym napisał sobie skrypt, w którym stworzę zmienną $_SESSION['id']=1 i się zaloguję dzięki niemu na twoją stronę. Sesja jest indywidualna dla każdego jej wywołania. Czyli dla każdej osoby jest ona osobna, niewspółdzielona i żaden użytkownik nie ma ingerencji w sesje innego użytkownika.
W tym kodzie, co pokazałeś, to na początek zmień logowanie. Nie wyciągaj wszystkich użytkowników i wtedy sprawdzaj czy istnieje taki, jaki się chce zalogować, tylko stwórz zapytanie w stylu:

[SQL] pobierz, plaintext 
SELECT * FROM uzytkownicy WHERE login=$login AND haslo=$haslo
[SQL] pobierz, plaintext

oczywiście takie dane trzeba sprawdzić. Do hasła polecam hashowanie np sha1, wtedy masz

[SQL] pobierz, plaintext 
SELECT * FROM uzytkownicy WHERE login=$login AND haslo=sha1($haslo)
[SQL] pobierz, plaintext

i oczywiście jakaś walidacja loginu, albo wyrażenie regularne, gdzie sprawdzasz, czy login zawiera tylko znaki dopuszczalne albo przynajmniej http://pl2.php.net/manual/en/function.mysq...cape-string.php
Po wykonaniu zapytania sprawdzaj czy został wyciągnięty rekord z bazy. Jeżeli tak -> zaloguj, nie -> brak użytkownika.

set4812

26.09.2010, 18:10:35

przechodze 100 na obiektowo i w stosunku do tego jeszcze zadam kilka pytan czy da sie przerwać wykonywanie klasy gdy wszystkie funkcje wykonywuja sie w konstruktorze?? A co do haseł w md5 będę kodował. login i hasło escepe string przeleciec. łaczenie z baza chce oddzielenie zrobic jak je uzywac w klasie jezeli mam je w oddzielnym pliku, uzywam mysqli.

bastard13

26.09.2010, 18:29:56

1) Przerywanie wykonywania funkcji - return bądź exit()
2) Jeżeli używasz md5 lub czegoś podobnego to nie potrzeba ci już escape.
3) funkcje include(), require(), require_once() - dołączanie pliku. Żeby je używać w klasie możesz przekazać jako argument do konstruktora/funkcji klasy.

set4812

26.09.2010, 20:11:25

Ja chce miec w całej Clasie zeby funkcje miały połaczenie z baza jak i konstruktor, czyli mam zaincludowac czy jakos przekazac, prosze o jakis przykład

To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.