Witam, zrobiłem panel i jak by ktoś biegły mógł go ocenić? Pod względem bezpieczeństwa głównie, nie ma to być niewiadomo jak bezpieczny no ale żeby go banalnym sposobem nie dało sie obejść.

Mile widziane jakieś poprawki... lub chociaż wytknięte co powinienem zmienić na coś.

Będę bardzo wdzięczny.

STRONA GŁÓWNA:
Kod odpowiada za ładowanie stron ( wiem tyle że muszę w nim dodać wykasowanie znaków / \ : . )

[PHP] pobierz, plaintext 
<?php
 
  $page = @$_GET['page'];
    require('./smarty/Smarty.class.php');
 
        if(!isset($page))
        {
             $page = 'news';
     }
        else
        {
          if(!file_exists($page.".php")) 
          {
              $page = "news";     
            }
            else
             { 
                $page = $_GET['page'];
            }
    }
      include($page.".php");
      
?>
[PHP] pobierz, plaintext 

Panel includowany na stronę główną:

[PHP] pobierz, plaintext 
<?php
 
        $tpl = new Smarty; 
        $tpl -> template_dir = './templates/';
        $tpl -> compile_dir = './templates_c/';
 
        
        
            if (@$_SESSION['zalogowany'] === true)
            {
                            $tpl -> assign('info', 'jestes zalogowany'); 
                             $tpl -> display('zalogowany.tpl'); 
            }
            else 
            {
                 $tpl -> display('login.tpl'); 
            }
 
?>
[PHP] pobierz, plaintext 

szablon panelu login.tpl:

[HTML] pobierz, plaintext 
<form action="?page=zalogowany" method=POST> 
<div class="login">
<div class="login_1">
<INPUT type="text" name="nick" class="p_user"><br />
<INPUT type="password" name="pass"  class="p_pass">
</div>
<div class="login_2">
<input onfocus="blur()" type="submit" value=""  class="p_but" >
</div>
<div id="login_3"><a href="#">Przypomnij hasło</a> | <a href="#">Rejestracja</a></div>
</div>
</form>
[HTML] pobierz, plaintext 

strona zalogowany.php wczytywana po uruchomieniu formularza:

[PHP] pobierz, plaintext 
<?php 
 
try {
        $pdo = new PDO('mysql:host=localhost; dbname=gcms', 'root', 'root');
        $pdo -> setAttribute(PDOATTR_ERRMODE, PDOERRMODE_EXCEPTION);
             
        
            if (isset($_POST['nick'])&&isset($_POST['pass']))
            {
                        $zapytanie =  $pdo -> query('SELECT nick, pass FROM users WHERE nick = "'.$_POST['nick'].'"  AND  pass = "'.$_POST['pass'].'"');
                        $row = $zapytanie -> fetch();
                                            
                            if ($row['nick'] === $_POST['nick'] && $row['pass'] === $_POST['pass']) 
                                {
                                                                $_SESSION['zalogowany'] = true;
 
                                    echo "<meta http-equiv=\"Refresh\" content=\"0; url=index.php\" />";
 
                                
                                $zapytanie -> closeCursor();
                                }
                                
                            else
                                {
                                        echo "Zły login lub hasło!";
                                }
        
            }
            
else
                                {
                                        echo "Zły login lub hasło!";
            }
        
    
    }
    
catch(PDOException $e)
    {
        echo "blad".$e->getMessage();
    }
    
    
                                
                                
?>
[PHP] pobierz, plaintext 

strona wyloguj.php:

[PHP] pobierz, plaintext 
<?php 
 
    session_destroy();
    echo "<meta http-equiv=\"Refresh\" content=\"0; url=index.php\" />";
                                
                                
?>
[PHP] pobierz, plaintext 

Mało praktyczne jest to że stronę po zalogowaniu jak i wylogowaniu muszę odświeżyć bo inaczej nie wczytuję / kasuję się panel... ale nie miałem innego pomysłu na załatwienie tej sprawy



Jeśli ktoś znajdzie chwilkę i chęci to proszę o pomoc, bo nie mam innego sposobu na sprawdzenie bezpieczeństwa i praktyczności tego panelu

[PHP] pobierz, plaintext 
<?php
include($page.".php");
?>
[PHP] pobierz, plaintext 

A jak wywołam adres: index.php?page=../../admin/kasuj?
Oczywiście określenie pliku jest wyssane z palca, ale w takiej formie pozwalasz mi includować wszystko jak leci.

Po drugie nie opierałabym się na samej zmiennej sesyjnej, ale również na innych sprawdzeniach (sygnatura przeglądarki na przykład).

W ogóle nie widzę session_start();
Wylogowanie zrobiłabym tylko i wyłącznie po stwierdzeniu, że user jest zalogowany, w przeciwnym przypadku wyświetliłabym komunikat, że nie jest się zalogowanym. Osobiście uważam, że jest to bardziej profesjonalne, zamiast przyjmować wszystko jak leci.

To tak na szybko.