Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: [php + mysql] logowanie/wylogowanie
Forum PHP.pl > Inne > Oceny
prz3m3k
12.08.2006, 23:03:18
Logowanie do panelu newsów w którym to panelu w pełni edytujemy newsy dodajemy/usuwamy itd. nie to jest ważne... wazne jest to czy chodź trochę bezpiecznie się to odbywa tongue.gif w php piszę od niedawna i jest mój pierwszy skrypt zamieszczony do oceny, proszę krytykować do woli smile.gif


plik login.php ma za zadanie sprawdzenie czy login i hasło podane w formularzu logowania zgadzają się z loginem i hasłem w bazie mysql.
[PHP] pobierz, plaintext 
  1. <?php
  2. if(!session_id())
  3. { 
  4.  unset($_COOKIE[session_name()]);
  5. }
  6. error_reporting( E_ALL );
  7. session_start();
  8.  
  9. if(isset($_POST['login']) && isset($_POST['haslo']))
  10. {
  11.  
  12.   $login = $_POST['login'];
  13.   $haslo = $_POST['haslo'];
  14.  
  15.   $db = mysql_connect('host', 'login', 'haslo')
  16.   or die('Nie mogę połączyć się z bazą danych'.mysql_error());
  17.   mysql_select_db('baza')
  18.   or die('Nie mogę połączyć się z bazą danych'.mysql_error());
  19.  
  20. $passwd = md5(sha1($haslo));	 /*zakodowanie hasła*/
  21.  
  22. $zapytanie = "SELECT * FROM users WHERE user='$login' AND passwd='$passwd'";
  23. $wynik = mysql_query($zapytanie);
  24.  
  25. $query = "SELECT passwd FROM users WHERE user='$login'";
  26. $r = mysql_fetch_array(mysql_query($query));
  27.  
  28. if($r['passwd'] === $passwd){						  
  29. if(mysql_num_rows($wynik) == 1)
  30. 		{
  31. 				$_SESSION['prawid_uzyt'] = $login.session_id();	   
  32. 				$_SESSION['prawid'] = $login;
  33. 		}
  34. 		else echo '<center>!!! Błędne logowanie !!!</center>';
  35. }
  36. else echo '<center>!!! Błędne logowanie !!!</center>';
  37. mysql_close($db) or die('Nie mogę się rozłączyć z bazą danych !'.mysql_error());
  38. }
  39. ?>
  40.  
  41. <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.1//EN" "http://www.w3.org/TR/xhtml11/DTD/xhtml11.dtd">
  42. <html xmlns="http://www.w3.org/1999/xhtml">
  43. <head>
  44.   <meta http-equiv="content-type" content="text/html; charset=iso-8859-2" />
  45.   <meta http-equiv="reply-to" content="" />
  46.   <meta name="generator" content="" />
  47.   <meta name="author" content="" />
  48.   <meta name="description" content="" />
  49.   <title>..:: Logowanie do newsów ::..</title>
  50.  
  51.   <STYLE TYPE="text/css">
  52.   <!--
  53.   body { font-family: verdana; font-weight: normal; font-size: 10pt; color: #00000; margin: 0px; padding: 0px; }
  54.   a:link { color: #603913; text-decoration: none; }
  55.   a:visited { color: #603913; text-decoration: none; }
  56.   a:hover { text-decoration: underline; }
  57.   -->
  58.   </STYLE>
  59. </head>
  60. <body>
  61.  
  62. <?php
  63.   if(isset($_SESSION['prawid_uzyt']))
  64.   {
  65. 	header('Location: panel.php?sid='.session_id().'&la=pl');
  66.   }
  67.   else
  68.   {
  69. 	if(isset($login))
  70. 	{
  71. 	  echo '<center>!!! Zalogowanie niemożliwe !!!</center>';
  72. 	}
  73.  
  74. 	echo '<br /><br /><center><h3><b>Logowanie do systemu newsów</b></h3></center><br /><br /><br /><br />';
  75. 	echo '<form method="post" action="login.php">';
  76. 	echo '<table border="0" align="center">';
  77. 	echo '<tr><td>Login:</td>';
  78. 	echo '<td align="center"><input type="text" name="login"></td></tr>';
  79. 	echo '<tr><td>Hasło:</td>';
  80. 	echo '<td align="center"><input type="password" name="haslo"></td></tr>';
  81. 	echo '<tr><td colspan="2" align="center">';
  82. 	echo '<input type="submit" value="Loguj"></td></tr>';
  83. 	echo '</table></form>';
  84. 	echo '<br /><br /><center><a href="">Strona główna</a></center><br /><br /><br /><br />';
  85.   }
  86. ?>
  87.  
  88. </body>
  89. </html>
[PHP] pobierz, plaintext


każdy następny plik rozpoczyna się:

[PHP] pobierz, plaintext 
  1. <?php
  2. session_start();
  3.  
  4. if(isset($_SESSION['prawid_uzyt']) && session_id() === $sid) { to coś tam }
  5. ?>
[PHP] pobierz, plaintext


wylogowanie:

[PHP] pobierz, plaintext 
  1. <?php
  2.   session_start();
  3.  
  4.   unset($_SESSION['prawid_uzyt']);
  5.   unset($_SESSION['prawid']);
  6.   unset($_COOKIE[session_name()]);
  7.   session_destroy();
  8. ?>
[PHP] pobierz, plaintext
Cysiaczek
13.08.2006, 00:37:06
Cytat
[PHP] pobierz, plaintext 
  1. <?php
  2. $zapytanie = "SELECT * FROM users WHERE user='$login' AND passwd='$passwd'";
  3. $wynik = mysql_query($zapytanie);
  4.  
  5. $query = "SELECT passwd FROM users WHERE user='$login'";
  6. $r = mysql_fetch_array(mysql_query($query));
  7. ?>
[PHP] pobierz, plaintext


Dlaczego tak? NIe wystarczyło pierwsze zapytanie? Wyciągnąłeś wszystkie pola, więc je jakoś wykorzystaj. To drugie zapytanie jest zbędne. Pokombinuj - da się to uprościć.

Pozdrawiam,
SHiP
13.08.2006, 18:19:21
Jesli ten skrypt jest tylko dla Ciebie to nie jest źle ;]. Jesli chcesz natomiast to puscić w świat to kilka uwag...

Kod
<?php
if(isset($_SESSION['prawid_uzyt']) && session_id() === $sid) { to coś tam }
?>


1. Odwolujesz sie do $sid zamiast do $_GET['sid'] wiec przypuszczasz ze register globals są właczone ;] Niedobrze ;p
2. Jeśli inny administrator bedzie chciał z tego kożystać a bedzie mial wyłaczone cookies to co wtedy?
3. A jeśli serwer ma domyślnie wyłączone magic_quotes ;] ? Zero ochrony przed sql injection ;]
prz3m3k
13.08.2006, 19:06:30
1. okej poprawię smile.gif
2. nie będzie z tym problemu.
3. dobra przyznaje sie nie wiem o co chodzi tongue.gif

phpinfo() na serwerze gdzie to ma działać:

[PHP] pobierz, plaintext 
  1. <?php
  2. magic_quotes_gpc	On	On
  3. magic_quotes_runtime	Off	Off
  4. magic_quotes_sybase	Off	Off
  5. ?>
[PHP] pobierz, plaintext


jeśli to jest błedem to czy da się to jakoś inaczej rozwiązać i nie męczyć admina zmienianiem "magic_quotes_gpc" na "off"
SHiP
13.08.2006, 19:39:47 
[PHP] pobierz, plaintext 
  1. <?php
  2. 		$var = (get_magic_quotes_gpc()) ? $var : addslashes($var);  
  3. ?>
[PHP] pobierz, plaintext

get_magic_quotes_gpc" title="Zobacz w manualu php" target="_manual
addslashes" title="Zobacz w manualu php" target="_manual

I wszystko jasne winksmiley.jpg
prz3m3k
13.08.2006, 20:26:44
hmmmm czy jak na serwerze jest włączone magic_quotes_gpc to musze wykonywać ten skrypt który mi napisałeś powyżej SHiP ?

fragment z manuala php:

[PHP] pobierz, plaintext 
  1. <?php
  2. if (!get_magic_quotes_gpc()) {
  3.    $lastname = addslashes($_POST['lastname']);
  4. } else {
  5.    $lastname = $_POST['lastname'];
  6. }
  7. ?>
[PHP] pobierz, plaintext


czyli u mnie chyba nie jest potrzebne sprawdzanie tegoż warunku skoro wiem że skrypt będzie działał na serwerze gdzie magic_quotes_gpc jest włączone i nie musze potraktowac mojej zmiennej funkcją addslashes worriedsmiley.gif
SHiP
13.08.2006, 22:52:34
No tak w twoim przypadku to bedzie bezpieczne... Chociaż moim zdaniem i tak lepiej kod pisac uniwersalny ;]
bim2
14.08.2006, 17:51:59
Now łasnie. A jeśli np admin wyłączy ci magci quotes? Trzeba mysleć do przodu ;P robić wszystko tak aby na kazdym serwerze działało tak samo (podobnie) winksmiley.jpg
To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.