[MySQL][PHP] Czy ten kod jest bezpieczny? Opcje

[Michal2451]

Cześć! Zrobiłem stronę z logowaniem, rejestracją i... rangami/uprawnieniami.
Przy każdym użytkowniku jest kolumna ranga.
1 = user
5 = mod
9 = admin

I teraz mam np. lewe menu:

[PHP] pobierz, plaintext 
<?php include('config1.php');
 
if( ("$t[1]") == 1) {
echo ' <div class="box">
                <h3>Panel</h3>
                <ul>
                    <li><a href="#">Dodaj</a></li>
                    <li><a href="#">Usuń</a></li>
					<li><a href="#">Zmień</a></li>
                    <li><a href="#">Mój profil</a></li>
					<li><a href="logi.php">Logs/Newsy</a></li>
                </ul>
            </div>';
} elseif( ("$t[1]") == 9) {
echo ' <div class="box">
                <h3>Panel</h3>
                <ul>
                    <li><a href="login.php">Logowanie</a></li>
                    <li><a href="register.php">Rejestracja</a></li>
					<li><a href="logi.php">Logs/Newsy</a></li>
					<li><a href="#">Dodaj</a></li>
                    <li><a href="#">Usuń</a></li>
					<li><a href="#">Zmień</a></li>
                    <li><a href="#">Mój profil</a></li>
                </ul>
            </div>';
			echo ' <div class="box">
                <h3>Użytkownicy</h3>
                <ul>
                    <li><a href="users.php">Zarejestrowani</a></li>
                    <li><a href="znajdz.php">ZnajdĽ</a></li>
                    <li><a href="usun.php">Usuń</a></li>
					<li><a href="edytuj.php">Ranga</a></li>
                </ul>
            </div>';
	} elseif( ("$t[1]") == 5) {
echo ' <div class="box">
                <h3>Panel</h3>
                <ul>
                    <li><a href="#">Strefa moderatora</a></li>
					<li><a href="#">Dodaj</a></li>
                    <li><a href="#">Usuń</a></li>
					<li><a href="#">Zmień</a></li>
                    <li><a href="#">Mój profil</a></li>
					<li><a href="logi.php">Logs/Newsy</a></li>
                </ul>
            </div>';
		} else {
		echo ' <div class="box">
                <h3>Panel</h3>
                <ul>
                    <li><a href="login.php">Logowanie</a></li>
                    <li><a href="register.php">Rejestracja</a></li>
					<li><a href="logi.php">Logs/Newsy</a></li>
                </ul>
            </div>'; 
			};
 
 
 
 
 
?>
[PHP] pobierz, plaintext 

I plik config1.php:

[PHP] pobierz, plaintext 
<?php include('login.php');
$sql_conn = mysql_connect('xxx', 'xxx', 'xxx')
or die('Błąd podczas łączenia z bazą danych');
 
mysql_select_db('xxx');
 
$zapytanie = "SELECT `login`,`ranga` FROM `users` WHERE `login`='$nazwa'";
$idzapytania = mysql_query($zapytanie);
$t = mysql_fetch_row($idzapytania);
?>
[PHP] pobierz, plaintext 

I kod zakładek dla odpowiednich osób:

[PHP] pobierz, plaintext 
<?php include('config1.php');
 
if( ("$t[1]") == 9) {
 
Treść dla administratora
 
					} else {
					echo '<center><BR><BR><BR>To nie miejsce dla ciebie...';
					echo '<meta http-equiv="refresh" content="1; url=index.php">';
					};
?>
[PHP] pobierz, plaintext 

Czy to jest bezpieczne? Tak żeby jakiś zwykły user nie mógł zobaczyć zakładek dla administratora oraz do nich wejść.

ps. ja jestem autorem kodu, żeby nie było, że kopiuję od kogoś (IMG:style_emoticons/default/winksmiley.jpg)

Ten post edytował Michal2451 3.01.2011, 20:38:19

[cojack]

Podaj adres strony, to Ci zaraz pokaże jakie to jest bezpieczne.

[daros17]

Poczytaj o sql injection

[Michal2451]

Niestety nie wdrożyłem jeszcze tego (IMG:style_emoticons/default/tongue.gif)

Ale jeśli to był sarkazm to mnie oświeć co chciałeś zrobić (IMG:style_emoticons/default/happy.gif)
Albo co byś robił, gdybyś chciał udowodnić, że to jest niebezpieczne (IMG:style_emoticons/default/tongue.gif)

[cojack]

$zapytanie = "SELECT `login`,`ranga` FROM `users` WHERE `login`='$nazwa'";

i w polu $nazwa byłoby =
"; 'DROP TABLE `login`;--":

amen.

[wookieb]

Niestety nie wdrożyłem jeszcze tego (IMG:style_emoticons/default/tongue.gif)

To po co się pytasz skoro nie znasz jakichkolwiek podstaw bezpieczeństwa?
http://forum.php.pl/index.php?showtopic=30...stwo+skrypt%F3w
I jeszcze jeszcze parę tematów o SQL injection na forum.

[Michal2451]

Kto pyta nie błądzi, a fakt, że jestem początkujący wyjaśnia całą sprawę (IMG:style_emoticons/default/winksmiley.jpg)
A ten serwis jest do celów edukacyjnych.

[Mephistofeles]

PDO + prepared statements, tak na przyszłość. Do tego wywal te echa, zamknij tag PHP i normalnie pisz HTML.

[wookieb]

A ten serwis jest do celów edukacyjnych.

Edukacyjny nie znaczy, że za każdym razem będziemy powtarzać podstawy, które są na forum opisane.

[Michal2451]

Napisałem to "tak tylko", żeby było wiadome, że się uczę.
Nie było to ważne i tym bardziej nie było warte twojej odpowiedzi.