Bezpieczeństwo łączenia się z MySQL Opcje

[WojtasSP320]

Witam!

Mam pytanie odnośnie bezpieczeństwa. Piszę aktualnie aplikację w której BARDZO zależy mi na bezpieczeństwie.

Generalnie w panelu admina robię coś takiego:

1. Sprawdź czy user jest zalogowany
2. Jeśli tak to połącz z bazą (łączy się skrypt znajdujący się poza drzewem www z uprawnieniami 400) i zapisz połączenie do globalnej zmiennej $con
3. W przeciwnym wypadku przekieruj, 403, die i w ogóle umrzyj.
4. Potem dzieje się cały skrypt strony i na końcu (wiem, że nie muszę) robię mysql_close($con)

Moje pytanie brzmi: czy łącząc się w ten sposób (łączenie się na początku, przetrzymywanie połączenia w zmiennej globalnej, trzymanie przez cały skrypt otwartego połączenia) w jakiś wyraźny sposób niesie ze sobą zagrożenie i obniża bezpieczeństwo skryptu niż w wypadku, gdybym co chwila otwierał połączenie, wykonywał zadania na bazie i zamykał za sobą(IMG:style_emoticons/default/questionmark.gif)

Z góry dzięki za jakiekolwiek info.

[darko]

1. Sprawdź czy user jest zalogowany

Nie mając połączenia z bazą? Możesz rozwinąć koncepcję? Chyba nie robisz:

[PHP] pobierz, plaintext 
if($_SESSION["user"] != "") {
// łącz z db
} else {
 die("w ogóle umrzyj (IMG:style_emoticons/default/tongue.gif)  ");
}
[PHP] pobierz, plaintext 

przetrzymywanie połączenia w zmiennej globalnej, trzymanie przez cały skrypt otwartego połączenia

Rozumiem, że łączysz sie przez mysql_pconnect

Odnośnie bezpieczeństwa, to polecam korzystanie z PDO, preparowanie składni i bindowanie parametrów przed wykonaniem zapytania (jeśli poprawnie wykonasz, to jesteś odporny na sql injection).


(IMG:style_emoticons/default/laugh.gif) Rozwaliłeś mnie tym

die i w ogóle umrzyj.

(IMG:style_emoticons/default/laugh.gif)
Pozdrawiam

[WojtasSP320]

Na początku każdej podstrony w panelu admina jest coś takiego:

[PHP] pobierz, plaintext 
require('../autoryzacja.php');
require('../connect_db.php');
[PHP] pobierz, plaintext 

Tak wygląda autoryzacja:

[PHP] pobierz, plaintext 
<?php
#Sprawdzam status zalogowania usera
session_start();
if (!isset($_SESSION['user_status']) || $_SESSION['user_status'] != 'Logged')
{
    header('HTTP/1.1 403 Forbidden');
    header('Location: ../error/403.html');
    die('403 Forbidden');
}
 
#Sprawdzam, czy sesja nie jest "podstawiona"
if (!isset($_SESSION['session_check']))
{
    session_regenerate_id(true);
    $_SESSION['session_check'] = true;
}
 
#Sprawdzam, czy IP usera to to samo co twórcy sesji
if (!isset($_SESSION['user_ip']) || $_SESSION['user_ip'] != $_SERVER['REMOTE_ADDR'])
{
    session_regenerate_id(true);
    $_SESSION['user_ip'] = $_SERVER['REMOTE_ADDR'];
}
?>
[PHP] pobierz, plaintext 

Tak wygląda connect_db:

[PHP] pobierz, plaintext 
<?php 
global $con;
require('config.php'); //Ten plik przypisuje zmiennym $host, $user itd odpowiednie wartości
$con = mysql_connect($host,$user,$password);
if (!$con)  {die('Błąd');}
if (!mysql_select_db('sklep')) {die('Błąd');}
mysql_set_charset('utf8',$con); 
 
unset($password);
unset($user);
unset($host);
unset($database);
?>
[PHP] pobierz, plaintext 

Dodam tylko, że sesje przechowuję w bazie danych ale to osobna bajka...

Ten post edytował WojtasSP320 25.11.2009, 13:27:55

[darko]

#Sprawdzam, czy sesja nie jest "podstawiona"
if (!isset($_SESSION['session_check']))
{
session_regenerate_id(true);
$_SESSION['session_check'] = true;
}

To sprawdza jedynie czy zmienna sesyjna session_check ma jakąkolwiek wartość.

#Sprawdzam, czy IP usera to to samo co twórcy sesji
if (!isset($_SESSION['user_ip']) || $_SESSION['user_ip'] != $_SERVER['REMOTE_ADDR'])
{
session_regenerate_id(true);
$_SESSION['user_ip'] = $_SERVER['REMOTE_ADDR'];
}

Dodałbym jeszcze sprawdzanie/ustawianie ip dla łączących się przez proxy

$_SERVER['HTTP_CLIENT_IP'];
$_SERVER['HTTP_X_FORWARDED_FOR'];