Pomoc - Szukaj - U¿ytkownicy - Kalendarz
Pe³na wersja: [MySQL][PHP]Edycja rekordu
Forum PHP.pl > Forum > Przedszkole
Pcbecaw
20.01.2012, 17:19:46
Mam z internetu taki formularz dot. zmiany has³a w panelu u¿ytkownika:
[PHP] pobierz, plaintext 
  1. <form action="" method="post"> 
  2. Podaj login: <input type="text" name="nick" /><br /><br /> 
  3. Podaj email:<input type="text" name="email" /><br /><br /> 
  4. Podaj has³o:<input type="password" name="haslo" /><br /><br /> 
  5. <input name="dalej" type="submit" value="Dalej"><br /><br /> 
  6. </form>
  7.  
  8. <?php include("config.php");
  9. error_reporting(E_ALL^E_NOTICE);
  10. if($_POST['dalej']) 
  11. { 
  12. $login = strip_tags(htmlspecialchars(mysql_real_escape_string($_POST['nick']))); 
  13. $haslo = substr(addslashes($_POST['haslo']),0,32);
  14. $email = strip_tags(htmlspecialchars(mysql_real_escape_string($_POST['email'])));  
  15.  
  16. if(empty($login) || empty($haslo)  || empty($email)) $wiadomosc .= "Uzupe³nij wszystkie pola<br>"; 
  17.  
  18. if(empty($wiadomosc)) 
  19. { 
  20.  
  21. // sprawdzanie loginu 
  22.  
  23. $log = mysql_query("SELECT * FROM uzytkownicy WHERE nick='".$login."'"); 
  24. $log1 = mysql_num_rows($log); 
  25.  
  26. if($log1 === 0) $wiadomosc .= "Podany login nie istieje<br>"; 
  27.  
  28. // sprawdzanie hasla 
  29.  
  30. $has = mysql_query("SELECT * FROM uzytkownicy WHERE haslo='".$haslo."'"); 
  31. $has1 = mysql_num_rows($has); 
  32.  
  33. if($has1 === 0) $wiadomosc .= "Podane has³o jest nieprawid³owe<br>"; 
  34.  
  35. // sprawdzanie emaila 
  36.  
  37. $ema = mysql_query("SELECT * FROM uzytkownicy WHERE email='".$email."'"); 
  38. $ema1 = mysql_num_rows($ema); 
  39.  
  40. if($ema1 === 0) $wiadomosc .= "Podany email nie istnieje<br>"; 
  41. } 
  42. } 
  43.  
  44.  
  45.  
  46. if($_POST['dalej'] and empty($wiadomosc)) 
  47. { 
  48. echo ' 
  49. <form action="" method="post"> 
  50. <input type="hidden" name="login" value="'.$login.'">  
  51. Podaj stare has³o <input type="password" name="haslos" /><br /><br /> 
  52. Podaj nowe has³o <input type="password" name="haslo1" /><br /><br /> 
  53. Powtórz nowe has³o <input type="password" name="haslo2" /><br /><br /> 
  54. <input name="zapisz" type="submit" value="Zapisz" /></form> 
  55. '; 
  56. } 
  57.  
  58.  
  59.  
  60. if($_POST['zapisz']) 
  61. { 
  62. $login = strip_tags(htmlspecialchars(mysql_real_escape_string($_POST['login']))); 
  63. $haslos = substr(addslashes($_POST['haslos']),0,32);
  64. $haslo1 = substr(addslashes($_POST['haslo1']),0,32);
  65. $haslo2 = substr(addslashes($_POST['haslo2']),0,32);
  66.  
  67. if(empty($haslos) || empty($haslo1)  || empty($haslo2)) $wiadomosc .= "Uzupe³nij wszystkie pola<br>"; 
  68.  
  69. if(empty($wiadomosc)) 
  70. { 
  71. $has = mysql_query("SELECT * FROM uzytkownicy WHERE haslo='".$haslos."'"); 
  72. $has1 = mysql_num_rows($has); 
  73.  
  74. if($has1 === 0) $wiadomosc .= "Stare has³o nie pasuje<br>"; 
  75. if($haslo1 != $haslo2) $wiadomosc .= "Has³a s± ró¿ne<br>"; 
  76. } 
  77. if(empty($wiadomosc)) 
  78. { 
  79.  
  80. $zapytanie1 = 'UPDATE `uzytkownicy` SET `haslo`= "'.$haslo2.'" WHERE `nick`="'.$login.'"'; 
  81. $idzapytania1 = mysql_query($zapytanie1) or die(mysql_error());  
  82. $wiadomosc .= "has³o zosta³o zmienione<br>"; 
  83. } 
  84. } 
  85. echo $wiadomosc; 
  86. ?>
[PHP] pobierz, plaintext

W bazie has³a w rejestracji koduje tak:
[PHP] pobierz, plaintext 
  1. $haslo = substr(addslashes($_POST['haslo']),0,32);
[PHP] pobierz, plaintext


Teraz problem pojawia siê w edycji i uwierzytelnianiu. Po wpisaniu has³a takiego, jak przy rejestracji, wyskakuje komunikat, ¿e has³a s± nieprawid³owe. Jednak po skopiowaniu zakodowanego has³a i wpisanie go w pole formularza - wszystko jest ok. B³êdem jest odkodowywanie has³a w pliku dot. edycji has³a. Jak to naprawiæ?
Dziêki, pozdrawiam wink.gif
mortus
20.01.2012, 18:25:32
Wyrzuæ to do kosza i napisz w³asny skrypt. Tego:
[PHP] pobierz, plaintext 
  1. $haslo = substr(addslashes($_POST['haslo']),0,32);
[PHP] pobierz, plaintext

kodowaniem nazwaæ nie mo¿na. Powy¿szy fragment wycina 32 znaki z ci±gu podanego przez u¿ytkownika (niejawnie go oszukuj±c) i troszkê zmodyfikowanego. Skrypt w ogóle nie jest bezpieczny, a tu siê jeszcze has³o skraca. W dodatku autor nie u¿ywa ¿adnej funkcji hashuj±cej. Ciekawym "zabiegiem" pos³u¿y³ siê autor skryptu wy³±czaj±c raportowanie uwag (E_NOTICE), co da³o mu mo¿liwo¶æ nadu¿ywania funkcji empty(). Tymczasem empty() powinno mieæ nieco inne zastosowanie.

Poszukaj na forum, a z pewno¶ci± znajdziesz bardziej odpowiednie rozwi±zania, a na pewno konkretne podpowiedzi.
Turson
20.01.2012, 21:18:37
Wystarczy funkcja update bazy danych.
A has³o pierw zakoduj md5
Pcbecaw
21.01.2012, 01:06:48
Zabra³em z kodu tylko kawa³ek, lekko przerobi³em, dzia³a, wywala notice i wysz³o co¶ takiego:
[PHP] pobierz, plaintext 
  1. echo ' 
  2. <form action="" method="post"> 
  3. <input type="hidden" name="login" value="'.$login.'">  
  4. Podaj stare has³o <input type="password" name="haslos" /><br /><br /> 
  5. Podaj nowe has³o <input type="password" name="haslo1" /><br /><br /> 
  6. Powtórz nowe has³o <input type="password" name="haslo2" /><br /><br /> 
  7. <input name="zapisz" type="submit" value="Zapisz" /></form> 
  8. '; 
  9.  
  10.  
  11.  
  12.  
  13. if($_POST['zapisz']) 
  14. { 
  15. $login = strip_tags(htmlspecialchars(mysql_real_escape_string($_POST['login']))); 
  16. $haslos = md5(addslashes($_POST['haslos']));
  17. $haslo1 = md5(addslashes($_POST['haslo1']));
  18. $haslo2 = md5(addslashes($_POST['haslo2']));
  19.  
  20. if(empty($haslos) || empty($haslo1)  || empty($haslo2)) $wiadomosc .= "Uzupe³nij wszystkie pola<br>"; 
  21.  
  22. if(empty($wiadomosc)) 
  23. { 
  24. $has = mysql_query("SELECT * FROM uzytkownicy WHERE haslo='".$haslos."'"); 
  25. $has1 = mysql_num_rows($has); 
  26.  
  27. if($has1 === 0) $wiadomosc .= "Stare has³o nie pasuje<br>"; 
  28. if($haslo1 != $haslo2) $wiadomosc .= "Has³a s± ró¿ne<br>"; 
  29. } 
  30. if(empty($wiadomosc)) 
  31. { 
  32.  
  33. $zapytanie1 = 'UPDATE `uzytkownicy` SET `haslo`= "'.$haslo2.'" WHERE `nick`="'.$login.'"'; 
  34. $idzapytania1 = mysql_query($zapytanie1) or die(mysql_error());  
  35. $wiadomosc .= "has³o zosta³o zmienione<br>"; 
  36. } 
  37. } 
  38. echo $wiadomosc; 
[PHP] pobierz, plaintext

Notice jest tutaj - if (empty($user[id]) OR !isset($user[id])) {
tutaj - echo 'Witaj '.$user[nick].' zosta³e/a pomylnie zalogowany/a, tutaj umieæ ukryta strone tylko dla zalogowanych';
tutaj - if($_POST['zapisz'])
i tutaj - echo $wiadomosc;
jak to, niezdefiniowane? Jakby to usprawniæ zwa¿aj±c na to, ¿e chcia³bym mieæ poprawny ten kod.
mortus
21.01.2012, 09:48:45
Po pierwsze zauwa¿, ¿e element tablicy $_POST['zapisz'] istnieje (jest ustawiony, ang. isset) tylko wtedy, gdy wy¶lesz dane poprzez formularz. Oznacza to, ¿e przy ka¿dym pierwszym wej¶ciu na stronê bêdzie pojawia³ siê komunikat uwagi NOTICE, poniewa¿ takiego elementu jeszcze w talicy $_POST nie ma. W tym przypadku trzeba zast±piæ liniê 13 takim kodem (który de facto niewiele siê ró¿ni):
[PHP] pobierz, plaintext 
  1. if(isset($_POST['zapisz'])) {
[PHP] pobierz, plaintext

U¿ytkownika powiniene¶ identyfikowaæ po jego id, a nie po loginie. Skoro jest to formularz zmiany has³a i mo¿esz okre¶liæ login u¿ytkownika, to i mo¿esz okre¶liæ jego id. Zast±p zatem ukryte pole login ukrytym polem id, i przekazuj w nim identyfikator u¿ytkownika.
Trzecia sprawa to kwestia u¿ycia funkcji empty(). Po co kodowaæ pusty ³añcuch znaków (bo to siê w³a¶nie dzieje, gdy u¿ytkownik nie uzupe³ni którego¶ z pól)? Linie 16, 17 i 18 powinny siê znale¼æ dopiero w bloku if(empty($wiadomosc)) {. Natomiast instrukcja warunkowa w linii 20 powinna wygl±daæ tak:
[PHP] pobierz, plaintext 
  1. if(empty($_POST['haslos']) || empty($_POST['haslo1']) || empty($_POST['haslo2']))
[PHP] pobierz, plaintext

Pozostaje jeszcze kwestia u¿ycia funkcji addslashes(). Modyfikuje ona has³o podane przez u¿ytkowniaka, a wcale nie jest tutaj potrzebna. Oznacza to tyle, ¿e has³o w bazie danych nie jest has³em u¿ytkownika. Jest wiele sposobów na zabezpieczenie has³a np. sól, podwójne hashowanie lub "miks" obu wspomnianych metod, itp.
Pcbecaw
21.01.2012, 11:26:27
Pozmienia³em, s± jeszcze notice, ale nie tutaj tkwi b³±d. Mianowicie: nie zmienia hase³ w bazie. Co mo¿e byæ tego powodem?
[PHP] pobierz, plaintext 
  1. <?php include("config.php");
  2.  
  3. $nick = $_SESSION['nick'];
  4. $haslo = $_SESSION['haslo'];
  5. 	if ((empty($nick)) AND (empty($haslo))) {
  6. echo '<br>Nie by³e zalogowany albo zosta³e wylogowany<br><a href="index.php">Strona G³ówna</a><br>';
  7. exit;
  8. }
  9. $user = mysql_fetch_array(mysql_query("SELECT * FROM uzytkownicy WHERE `nick`='$nick' AND `haslo`='$haslo' LIMIT 1"));
  10. 	if (empty($user[id]) OR !isset($user[id])) {
  11. echo '<br>Nieprawid³owe logowanie.<br>';
  12. exit;
  13. }
  14. // tresc dla zalogowanego uzytkownika
  15. echo 'Witaj '.$user[nick].' zosta³e/a pomylnie zalogowany/a, tutaj umieæ ukryta strone tylko dla zalogowanych';
  16. echo '<br><a href="wyloguj.php">Wyloguj mnie</a>';
  17. echo ' 
  18. <form action="" method="post"> 
  19. <input type="hidden" name="login" value="'.$login.'">  
  20. Podaj stare has³o <input type="password" name="haslos" /><br /><br /> 
  21. Podaj nowe has³o <input type="password" name="haslo1" /><br /><br /> 
  22. Powtórz nowe has³o <input type="password" name="haslo2" /><br /><br /> 
  23. <input name="zapisz" type="submit" value="Zapisz" /></form> 
  24. '; 
  25.  
  26.  
  27.  
  28.  
  29. if(isset($_POST['zapisz']))
  30. { 
  31. if(empty($wiadomosc)) {
  32. $haslos = md5(sha1($_POST['haslos']));
  33. $haslo1 = md5(sha1($_POST['haslo1']));
  34. $haslo2 = md5(sha1($_POST['haslo2']));
  35. }
  36.  
  37. if(empty($_POST['haslos']) || empty($_POST['haslo1']) || empty($_POST['haslo2']))
  38.  
  39. { 
  40. $has = mysql_query("SELECT * FROM uzytkownicy WHERE haslo='".$haslos."'"); 
  41. $has1 = mysql_num_rows($has); 
  42.  
  43. if($has1 === 0) $wiadomosc .= "Stare has³o nie pasuje<br>"; 
  44. if($haslo1 != $haslo2) $wiadomosc .= "Has³a s± ró¿ne<br>"; 
  45. } 
  46. if(empty($wiadomosc)) 
  47. { 
  48.  
  49. $zapytanie1 = 'UPDATE `uzytkownicy` SET `haslo`= "'.$haslo2.'" WHERE `nick`="'.$user[id].'"'; 
  50. $idzapytania1 = mysql_query($zapytanie1) or die(mysql_error());  
  51. $wiadomosc .= "has³o zosta³o zmienione<br>"; 
  52. } 
  53. } 
  54. echo $wiadomosc; 
  55. ?>
[PHP] pobierz, plaintext
To jest wersja lo-fi g³ównej zawarto¶ci. Aby zobaczyæ pe³n± wersjê z wiêksz± zawarto¶ci±, obrazkami i formatowaniem proszê kliknij tutaj.
Invision Power Board © 2001-2025 Invision Power Services, Inc.