Witaj Gościu! ( Zaloguj | Rejestruj )

Forum PHP.pl

> Prośba o ocenę, skryptu logowania
Jarod
post
Post #1





Grupa: Zarejestrowani
Postów: 1 190
Pomógł: 27
Dołączył: 23.04.2005

Ostrzeżenie: (0%)
-----

Poniżej zamieściłem skrypt, który stosuję do logowania na podstawie bazy. Co o nim myślicie? Czy Waszym zdaniem warto coś poprawić, usprawnić w jakiś sposób? Może nie jest zbyt bezpieczny?

[PHP] pobierz, plaintext 
  1. <?php
  2.   session_name('sofik');
  3.   session_start();
  4.   include "config.inc.php";
  5. ?>
  6.  
  7.  
  8. <!-- ZALOGUJ I USTAW ZMIENNE SESYJNE -->
  9. <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
  10. <html>
  11. <head>
  12. 	  <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-2">
  13. 	  <meta name="pragma" content="no-cache" />
  14. 	  <title>Logowanie...</title>
  15. 	  <link rel="stylesheet" type="text/css" href="autoryzacja.css" />
  16. </head>
  17. <body>
  18. <?php
  19.  
  20.   //Połączenie z bazą danych
  21.   $conn = mysql_connect($server, $identyfikator, $haslo)
  22. 		or die ("Nie udało się połączyć z bazą danych! BŁˇD: ".mysql_error());
  23.   //Wybór bazy danych
  24.   mysql_selectdb($baza)
  25. 		or die ("Nie udało się wybrać bazy! BŁˇD: ".mysql_error());
  26.  
  27.   //Zapytanie o login i hasło
  28.   $query = "SELECT * FROM konto WHERE login='".$_POST['logid']."';";
  29.   $result = mysql_query($query)
  30. 		or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  31.   $query_data = mysql_fetch_row($result);
  32.  
  33.  
  34.   //Sprawdzenie czy podany login i hasło są poprawne
  35.   if (MD5($_POST['pas']) == $query_data[2])
  36.   {
  37.  
  38. 	 //Udana autoryzacja
  39. 	 if ( ($query_data[3] == 0) OR (($query_data[3] == 3)) )
  40. 	 {
  41. 		//Zapytanie o dane osoby zalogowanej z tabeli pracownika
  42. 		$query = "SELECT konto.konto_id, login, haslo, kto, imie, nazwisko FROM konto, pracow
    nik "    .
  43. 			   "WHERE login='".$_POST['logid']."' AND konto.konto_id=pracownik.konto_id;";
  44. 		$result = mysql_query($query)
  45. 				or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  46. 		$query_data = mysql_fetch_row($result);
  47. 		$ID = $query_data[0];
  48.  
  49. 			$_SESSION['id'] = $query_data[0]; //Konto_id
  50. 			$_SESSION['nick'] = $query_data[1]; //Login
  51. 			$_SESSION['haslo'] = $query_data[2]; //Hasło
  52. 			$_SESSION['kto'] = $query_data[3]; //Pracownik czy klient?
  53. 			$_SESSION['imie'] = $query_data[4]; //Imie
  54. 			$_SESSION['nazwisko'] = $query_data[5]; //Nazwisko
  55.  
  56. 		//------------------->ROZPOCZCIE TRANSAKCJI
  57. 		$query = "BEGIN WORK";
  58. 		$result = mysql_query($query)
  59. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  60.  
  61. 		//Dodanie daty i godziny logowania
  62. 		$query = "INSERT INTO logi (konto_id, data_log, godzina_log) VALUES ($ID,CURDATE(),CURTIME());";
  63. 		$result = mysql_query($query)
  64. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  65. 		//-------------------> ZATWIERDZENIE TRANSAKCJI
  66. 		$query = "COMMIT";
  67. 		$result = mysql_query($query)
  68. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  69.  
  70. 		//Sprawdzenie wartości klucza logi_id
  71. 		$query = "SELECT LAST_INSERT_ID()";
  72. 		$result = mysql_query($query)
  73. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  74. 		$query_data = mysql_fetch_row($result);
  75.  
  76. 			$_SESSION['id_logi'] = $query_data[0]; //Logi_id
  77.  
  78. 		//Zamknięcie połączenia z bazą danych
  79. 		mysql_close($conn);
  80.  
  81. 		header("location: start.php?".SID);
  82. 	 }
  83. 	 else
  84. 	 {
  85. 		//Zapytanie o dane osoby zalogowanej z tabeli klienta
  86. 		$query = "SELECT konto.konto_id, login, haslo, kto, imie, nazwisko FROM konto, klient
     "    .
  87. 			   "WHERE login='".$_POST['logid']."' AND konto.konto_id=klient.konto_id;";
  88. 		$result = mysql_query($query)
  89. 				or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  90. 		$query_data = mysql_fetch_row($result);
  91. 		$ID = $query_data[0];
  92.  
  93. 			$_SESSION['id'] = $query_data[0]; //Konto_id
  94. 			$_SESSION['nick'] = $query_data[1]; //Login
  95. 			$_SESSION['haslo'] = $query_data[2]; //Hasło
  96. 			$_SESSION['kto'] = $query_data[3]; //Pracownik czy klient?
  97. 			$_SESSION['imie'] = $query_data[4]; //Imie
  98. 			$_SESSION['nazwisko'] = $query_data[5]; //Nazwisko
  99.  
  100. 		//------------------->ROZPOCZCIE TRANSAKCJI
  101. 		$query = "BEGIN WORK";
  102. 		$result = mysql_query($query)
  103. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  104.  
  105. 		//Dodanie daty i godziny logowania
  106. 		$query = "INSERT INTO logi (konto_id, data_log, godzina_log) VALUES ($ID,CURDATE(),CURTIME());";
  107. 		$result = mysql_query($query)
  108. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  109. 		//-------------------> ZATWIERDZENIE TRANSAKCJI
  110. 		$query = "COMMIT";
  111. 		$result = mysql_query($query)
  112. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  113.  
  114. 		//Sprawdzenie wartości klucza logi_id
  115. 		$query = "SELECT LAST_INSERT_ID()";
  116. 		$result = mysql_query($query)
  117. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  118. 		$query_data = mysql_fetch_row($result);
  119.  
  120. 			$_SESSION['id_logi'] = $query_data[0]; //Logi_id
  121.  
  122. 		//Zamknięcie połączenia z bazą danych
  123. 		mysql_close($conn);
  124.  
  125. 		header("location: start.php?".SID);
  126. 	 }
  127.   }
  128.   else
  129.   {
  130.    // Zły login lub hasło
  131.    ?>
  132.    <br><br><br><br><br><br><br><br><br>
  133.    <table width="80%" align="center" border="0" cellpadding="14">
  134. 		  <tr>
  135. 			  <td><h2 class="error">Podałeś zły login lub hasło!</h2></td>
  136. 		  </tr>
  137.    </table>
  138.    <?php
  139.    echo "<META HTTP-EQUIV='Refresh' CONTENT='3; URL=main.php'>";
  140.   }
  141. ?>
  142.  
  143. </body>
  144. </html>
[PHP] pobierz, plaintext


Ten post edytował J4r0d 14.05.2006, 22:49:22


--------------------
”Godzina nauki w życiu nowoczesnego apostoła jest godziną modlitwy.”
(św. Josemaría Escrivá, Droga, 335)
Go to the top of the page
+Quote Post
 
 Start new topic
Odpowiedzi (1 - 15)
devnul
post
Post #2





Grupa: Zarejestrowani
Postów: 1 470
Pomógł: 75
Dołączył: 21.09.2005
Skąd: że znowu

Ostrzeżenie: (0%)
-----

skrypt wygląda dobrze - rzczej nie jest niebezpieczny winksmiley.jpg
tylko jedno ale: czemu drukujesz z poziomu php kod html? ani to czytelne ani potrzebne, tylko dodatkowe obciązanie parsera

ale chyba nie to forum co? snitch.gif

Ten post edytował devnul 11.05.2006, 20:29:17


--------------------
Profesjonaliści są przewidywalni...
strzeż się amatorów...
FL4SHB4CK - imprezy, galerie, lokale
Go to the top of the page
+Quote Post
mike
post
Post #3





Grupa: Przyjaciele php.pl
Postów: 7 494
Pomógł: 302
Dołączył: 31.03.2004

Ostrzeżenie: (0%)
-----

Przenoszę z php na Oceny

Swoją drogą walisz "Proszę o ocenę..." a na Ocenach nie dajesz, coś z Tobą nie tak?

P.S.
Dlaczego wszędzie dajesz die()?
To najgorsze wyjście, poczytaj o wyjątkach i inaczej rozwiąż kwestie problematyczne.
Go to the top of the page
+Quote Post
Jarod
post
Post #4





Grupa: Zarejestrowani
Postów: 1 190
Pomógł: 27
Dołączył: 23.04.2005

Ostrzeżenie: (0%)
-----

Cytat(mike_mech @ 2006-05-11 19:31:08)
Przenoszę z php na Oceny

Swoją drogą walisz "Proszę o ocenę..." a na Ocenach nie dajesz, coś z Tobą nie tak?

P.S.
Dlaczego wszędzie dajesz die()?
To najgorsze wyjście, poczytaj o wyjątkach i inaczej rozwiąż kwestie problematyczne.

mike_mech: bo skrypt ten pisałem dawno pod php4 wiem że można go przepisać pod php5 z obsługą wyjątków
ps. jestem zmęczony - przepraszam za zły dział


@devnul: poprawie


--------------------
”Godzina nauki w życiu nowoczesnego apostoła jest godziną modlitwy.”
(św. Josemaría Escrivá, Droga, 335)
Go to the top of the page
+Quote Post
nospor
post
Post #5





Grupa: Moderatorzy
Postów: 36 557
Pomógł: 6315
Dołączył: 27.12.2004
...WHERE login='".$_POST['logid']."'.....
a teraz patrzymy w ten topic:
http://forum.php.pl/index.php?showtopic=23258&st=0
i juz wiemy o czym mowie winksmiley.jpg


--------------------

"Myśl, myśl, myśl..." - Kubuś Puchatek || "Manual, manual, manual..." - Kubuś Programista
"Szukaj, szukaj, szukaj..." - Kubuś Odkrywca || "Debuguj, debuguj, debuguj..." - Kubuś Developer
Go to the top of the page
+Quote Post
Jarod
post
Post #6





Grupa: Zarejestrowani
Postów: 1 190
Pomógł: 27
Dołączył: 23.04.2005

Ostrzeżenie: (0%)
-----

Cytat(nospor @ 2006-05-11 20:09:57)
...WHERE login='".$_POST['logid']."'.....
a teraz patrzymy w ten topic:
http://forum.php.pl/index.php?showtopic=23258&st=0
i juz wiemy o czym mowie winksmiley.jpg

Przeczytałem ale nie wiem gdzie błąd i jak go naprawić..?


--------------------
”Godzina nauki w życiu nowoczesnego apostoła jest godziną modlitwy.”
(św. Josemaría Escrivá, Droga, 335)
Go to the top of the page
+Quote Post
devnul
post
Post #7





Grupa: Zarejestrowani
Postów: 1 470
Pomógł: 75
Dołączył: 21.09.2005
Skąd: że znowu

Ostrzeżenie: (0%)
-----

widocznie nie przeczytałeś uważnie biggrin.gif

cytat z wypowiedzi Vengeance`a (pierwsza odpowiedz w tym temacie)
Cytat
punkt 2. ja stosuje po prostu addslashes() i filtruje dane z POST GET COOKIE itd. tzn jak ma byc liczba do liczba a nie string

i wszystko staje się jasne.

wszystkie dane które przekazujesz do bazy danych potraktuj funkcją addslashes(), czyli np. 
[PHP] pobierz, plaintext 
  1. <?php
  2. addslashes($_POST["login"]);
  3. ?>
[PHP] pobierz, plaintext


Ten post edytował devnul 11.05.2006, 21:34:28


--------------------
Profesjonaliści są przewidywalni...
strzeż się amatorów...
FL4SHB4CK - imprezy, galerie, lokale
Go to the top of the page
+Quote Post
TomASS
post
Post #8





Grupa: Zarejestrowani
Postów: 1 660
Pomógł: 13
Dołączył: 9.06.2004
Skąd: Wrocław i okolice

Ostrzeżenie: (0%)
-----

Cytat
skrypt wygląda dobrze - rzczej nie jest niebezpieczny

Cytat
widocznie nie przeczytałeś uważnie

Ty też tongue.gif


Ja bym raczej proponował funkcje specjalnie do tego stworzoną - mysql_escape_string().

1.
Możesz zamiast:
[PHP] pobierz, plaintext 
  1. <?php
  2. $query = "SELECT konto.konto_id, login, haslo, kto, imie, nazwisko 
  3. FROM konto, pracownik ".
  4.                "WHERE login='".$_POST['logid']."' AND konto.konto_id=pracownik.konto_id;";
  5. ?>
[PHP] pobierz, plaintext

Pisać wygodniej:
[PHP] pobierz, plaintext 
  1. <?php
  2. $query = "SELECT K.konto_id, login, haslo, kto, imie, nazwisko FROM konto AS K , prac
    ownik AS P WHERE login='"    .$_POST['logid']."' 
  3. AND K.konto_id=P.konto_id;";
  4. ?>
[PHP] pobierz, plaintext


2.
Nie łatwiej byłoby trzymać datę i czas w jednej komórce w bazie danych? :
[PHP] pobierz, plaintext 
  1. <?php
  2.    $query = "INSERT INTO logi (konto_id, data_log, godzina_log) VALUES ($ID,CURDATE(),CURTIME());";
  3. ?>
[PHP] pobierz, plaintext


3.
Jeśli już używasz styli, to bądź konsekwentny:
[HTML] pobierz, plaintext 
  1. <table width="80%" align="center" border="0" cellpadding="14">
[HTML] pobierz, plaintext


Ale to tak szukanie dziury w całym - popraw to o czym napisał kolega nospor oraz mike_mech i powinno być dobrze party.gif

Ten post edytował TomASS 11.05.2006, 23:39:34


--------------------
www.fajrant.pl/
Go to the top of the page
+Quote Post
Jarod
post
Post #9





Grupa: Zarejestrowani
Postów: 1 190
Pomógł: 27
Dołączył: 23.04.2005

Ostrzeżenie: (0%)
-----

W celu wyeliminowania możliwości załadowania konkretnej podstrony przez użytkownika, na każdej podstronie mam taki kod:

[PHP] pobierz, plaintext 
  1. <?php
  2.   session_name('sofik');
  3.   session_start();
  4.  
  5.   //JEŚLI NIE ISTNIEJE SESJA UŻYTKOWNIKA TO POWRÓT NA STRON LOGOWANIA
  6.   if ( (!isset($_SESSION['nick'])) && (!isset($_SESSION['haslo'])) )
  7.   {
  8. 	 ?>
  9. 	 <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
  10. 	 <html>
  11. 	 <head>
  12. 		   <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-2">
  13. 		   <meta name="pragma" content="no-cache" />
  14. 		   <link rel="stylesheet" type="text/css" href="autoryzacja.css" />
  15. 	 </head>
  16. 	 <body>
  17. 		   <table width="80%" align="center" border="0" cellpadding="14">
  18. 				  <tr>
  19. 					  <td><img src="images/spacer.gif" alt="" width="0" height="140"></td>
  20. 				  </tr>
  21. 				  <tr>
  22. 					  <td><h2 class="error">BRAK UPRAWNIEŃ! &nbsp ZALOGUJ SI</h2></td>
  23. 				  </tr>
  24. 		   </table>
  25. 	 </body>
  26. 	 </html>
  27. 	 <?php
  28. 	 echo "<META HTTP-EQUIV='Refresh' CONTENT='3; URL=main.php'>";
  29. 	 exit();
  30.   }
  31. ?>
[PHP] pobierz, plaintext


Co o tym sądzicie? Poprawilibyście coś?

Ten post edytował J4r0d 14.05.2006, 22:50:04


--------------------
”Godzina nauki w życiu nowoczesnego apostoła jest godziną modlitwy.”
(św. Josemaría Escrivá, Droga, 335)
Go to the top of the page
+Quote Post
Jabol
post
Post #10





Grupa: Przyjaciele php.pl
Postów: 1 467
Pomógł: 13
Dołączył: 22.02.2003

Ostrzeżenie: (0%)
-----

Jeżeli miałbym to ocenić w skali 1 do 10 dostałbyś 1, i to z wielkim minusem!

Nawet tego skryptu nie przejrzałem - odpowiedź na pytanie za co ta ocena znajedziesz już w trzeciej linijce!

Popraw to zobaczymy winksmiley.jpg
Go to the top of the page
+Quote Post
ActivePlayer
post
Post #11





Grupa: Przyjaciele php.pl
Postów: 1 224
Pomógł: 40
Dołączył: 6.07.2004
Skąd: Wuppertal

Ostrzeżenie: (0%)
-----

masz gdzies ten skrypt online ? chcialbym sprawdzic conieco.
Go to the top of the page
+Quote Post
Jarod
post
Post #12





Grupa: Zarejestrowani
Postów: 1 190
Pomógł: 27
Dołączył: 23.04.2005

Ostrzeżenie: (0%)
-----

Cytat(Jabol @ 2006-05-14 19:49:40)
Jeżeli miałbym to ocenić w skali 1 do 10 dostałbyś 1, i to z wielkim minusem!

Nawet tego skryptu nie przejrzałem - odpowiedź na pytanie za co ta ocena znajedziesz już w trzeciej linijce!

Popraw to zobaczymy winksmiley.jpg

Nie wiem o co Ci chodzi.. Możesz napisać gdzie jest błąd?

@ActivePlayer: nie mam na serwerze


--------------------
”Godzina nauki w życiu nowoczesnego apostoła jest godziną modlitwy.”
(św. Josemaría Escrivá, Droga, 335)
Go to the top of the page
+Quote Post
erix
post
Post #13





Grupa: Moderatorzy
Postów: 15 467
Pomógł: 1451
Dołączył: 25.04.2005
Skąd: Szczebrzeszyn/Rzeszów
masz stala sofik?

[PHP] pobierz, plaintext 
  1. <?php
  2. session_name(sofik);
  3. ?>
[PHP] pobierz, plaintext


chyba nie, wiec powinno byc:

[PHP] pobierz, plaintext 
  1. <?php
  2. session_name('sofik');
  3. ?>
[PHP] pobierz, plaintext


Ten post edytował erix 14.05.2006, 22:43:59


--------------------

ZCE :: Pisząc PW załączaj LINK DO TEMATU i TYLKO w sprawach moderacji :: jakiś błąd - a TREŚĆ BŁĘDU? :: nie ponaglaj z odpowiedzią via PW!
Go to the top of the page
+Quote Post
Jarod
post
Post #14





Grupa: Zarejestrowani
Postów: 1 190
Pomógł: 27
Dołączył: 23.04.2005

Ostrzeżenie: (0%)
-----

Cytat(erix @ 2006-05-14 21:41:09)
najpierw startuj sesje, potem zmieniaj jej nazwe...

To nie ma żadnego wpływu na bezpieczeństwo. I działa. Ale skoro tak mówisz to poprawie..

Pozatym myślę, że Jabol doczepił się o coś innego..


--------------------
”Godzina nauki w życiu nowoczesnego apostoła jest godziną modlitwy.”
(św. Josemaría Escrivá, Droga, 335)
Go to the top of the page
+Quote Post
erix
post
Post #15





Grupa: Moderatorzy
Postów: 15 467
Pomógł: 1451
Dołączył: 25.04.2005
Skąd: Szczebrzeszyn/Rzeszów
sory, zmienilem posta... worriedsmiley.gif
rozwiazanie ^^^


--------------------

ZCE :: Pisząc PW załączaj LINK DO TEMATU i TYLKO w sprawach moderacji :: jakiś błąd - a TREŚĆ BŁĘDU? :: nie ponaglaj z odpowiedzią via PW!
Go to the top of the page
+Quote Post
Jarod
post
Post #16





Grupa: Zarejestrowani
Postów: 1 190
Pomógł: 27
Dołączył: 23.04.2005

Ostrzeżenie: (0%)
-----

Cytat(erix @ 2006-05-14 21:45:13)
sory, zmienilem posta... worriedsmiley.gif
rozwiazanie ^^^

Poprawiłem. Proszę jeszcze raz o ocenę.

Czy to bezpieczny sposób na autoryzację (oczywiście dodam addslashes() i konwersję typów)?

Czy dobrze zabezpieczam każdą podstronę?


--------------------
”Godzina nauki w życiu nowoczesnego apostoła jest godziną modlitwy.”
(św. Josemaría Escrivá, Droga, 335)
Go to the top of the page
+Quote Post
« Następny starszy · Oceny · Następny nowszy »
 

Reply to this topicStart new topic
1 Użytkowników czyta ten temat (1 Gości i 0 Anonimowych użytkowników)
0 Zarejestrowanych:

 

Tryb wyświetlania: Przełącz na: Standardowy · Linearny+ · Przełącz na: Drzewo

Śledź ten temat · Wyślij temat na e-mail · Wydrukuj ten temat · Subskrybuj to forum

RSS Aktualny czas: 21.08.2025 - 15:35
Powered By IP.Board © 2025  IPS, Inc.
All changes by PHP.pl Administrators
Hosting zapewnia NQ.pl hosting, trac, svn