[php] System logowania i sesje Opcje

[-gosc_mufan-]

Witam mam problem.Dopiero zaczynam zabawe z php a juz musze napisac system logowania oparty mysql. Czy moglby mi ktos pomoc dokladnie chodzi o to z na stronce sa miejsca na login i haslo i po kliknieciu na loguj powino sprawdzac czy taki user jest w bazie danych. Dziekuje za szybka odpowiedz:)

----------------------
Pozwoliłem sobie zmienić nazwę
wątku : )
---
~strife

[Cysiaczek]

Skoro musisz napisać, to znaczy, że to komercyjna zabawka. Skoro nie znasz php i mysql'a, to jak chcesz to napisać? Chcesz pomocy, czy gotowca? Jak gotowca, to nie ten dział.
1. Stwórz tabelę w bazie danych zawierającą żytkowników
2. Napisz kod, który będzie pamietał uzytkownika (np. w oparciu o mechanizm sesji w php)
3. Przy stronach, które mają być zabezpieczone umieść kod sprawdzający, czy użytkownik, który odwiedz stronę ma do tego prawo. Sprawdzasz, czy osoba przedstawiająca się przez sesję jest umieszczona w bazie danch.

Jeśli nie jesteś w stanie napisać sam, to poszukaj gotowych skryptów, ale bacz na licencje.

Ten post edytował Cysiaczek 21.07.2006, 11:09:01

[adi2005]

Jest masa ksiazek na ten temat. Mozna je już kupić za ok 30zeta

[scanner]

@adi2005: jeszcze jedna taka odpowiedz i zaliczysz warna

A do autoa: Czy COKOLWIEK próbowałeś już zrobić?

[adi2005]

@scanner: Oki sorki ale jednak chciałbym wiedzieć co napisałem nie tak


---
Autor nie pytał o książki.
Pytał o konkretne zagadnienie. A to że książki są to każdy wie.
Też chcesz żeby Cie odesłać jak o coś zapytasz?
Jednym słowem: post jest zły bo nie na temat i specjalnie nabity.

A takie pytania jak to to też na PW.

~mike_mech

---
Dzięki mike-mech
~scanner

[-gosc_mufan-]

Tak probowalem sie bawic z gotowcami ale mi nie szlo. Poza tym bym wolal sam cos napisac. Mam juz gotowa baze w mysql ale nie wiem jak zaczac pisac samo logowanie.

[acztery]

formularz wysyla dane login i password do naszego skryptu. skrypt liczy uzytkownków w bazie majacych taki login i takie haslo pozniej dajesz if jezeli 1 tzn ze zalogowany dobrzez jezeli 0 to zle . jezeli bedzie dobrze mozeszesz wszystko wpakować do sessji ( imie,login,itp wedle uznania ) Wszystko wysylasz metoda POST z formularza rzecz jasna. nie zapomnij tez o MD5 tzn kodowanie hasła w manuali pisze wiecej

[strife]

Witam,

Napiszę Ci dość szybko czym jest logowanie w php i jak przebiega, ponieważ temat logowania był wałkowany i jest bardzo długo, więc sam rozumiesz, że pisać n'ty raz to samo robi się z oporem ( przynajmniej mi ). No ale przejdźmy do rzeczy, zakładam, że pewne podstawy z php znasz takie jak tworzenie warunków, pętli, zmiennych. Jeżeli już masz ten zasób wiedzy, to przejdźmy do napisania samego skryptu logowania.

Na początku tworzymy plik o dowolnej nazwie, u mnie będzie się nazywał login.php, ten plik umożliwi stworzenie tzw. zmiennej sesyjnej odpowiadającej za zalogowanie się na stronę. O zmiennach sesyjnych możesz poczytać w manualu w dziale zmienne predefiniowane. Oczywiście, samo tworzenie zmiennej sesyjnej nie wystarczy, jest potrzebny też formularz, który umożliwi nam dowolne logowanie.

Przykładowy formularz może wyglądać w ten sposób:

[HTML] pobierz, plaintext 
<form method="post" action="login.php">
    <input type="text" name="login" />
    <input type="password" name="password" />
    <input type="submit" value="zaloguj sie" />
</form>
[HTML] pobierz, plaintext 

Oczywiście ten formularz umieszczamy w naszym pliku, bądź innym wzkazującym na login.php ( action ). Gdy już mamy w takiej postaci nasz plik, przystępujemy do obrobienia go. Tak więc tworzymy warunek, który nam sprawdzi czy dane przesłane w formularzu są prawidłowe.

[PHP] pobierz, plaintext 
<?php
// powyzej badz ponizej przed tym kodem moze byc umieszczony formularz ;)
// najpierw sprawdzamy, czy wysyłane zmienne w formularzu nie są puste.
if ( ! empty( $_POST['login'] ) && ! empty( $_POST['password'] ) )
{
	// jezeli nie dokonujemy sprawdzenia poprawnosci loginu i hasla
	if ( $_POST['login'] == 'strife' && $_POST['password'] == 'admin' )
	{
		// tworzymy zmienna sesyjna
		$_SESSION['auth'] = '1';
	}
	else
	{
		echo 'Podales zly login badz haslo!';
	}
}
else
{
	echo 'Wprowadz dane do formularza :)';
}
?>
[PHP] pobierz, plaintext 

Przy tak skonstruowanym kodzie, i poprawnym wpisaniu danych zostanie dodane zmienna sesyjna o nazwie 'auth'. Zmienne sesyjne są widoczne w każdym miejscu ponieważ ich zasięg jest globalny i tutaj też zapraszam do zapoznania się z manual'em i rozdziałem o zmiennych predefiniowanych.

Następnie posiadając taką zmienną możemy w każdym miejscu sprawdzić, czy użytkownik jest zalogowany, czyli sprawdzamy czy ta zmienna istnieje.

[PHP] pobierz, plaintext 
<?php
if ( isset( $_SESSION['auth'] ) )
{
	echo 'Wiadomosc dla zalogowanego uzytkownika';
}
?>
[PHP] pobierz, plaintext 

Wszystko wydaje, się proste, ale kod który napisałem, może nie działać.. Dlaczego? W kodzie, który zaprezentowałem nie ma nigdzie zdefiniowanego startu sesji, więc tworzenie zmiennych sesyjnych i ich sprawdzanie nie ma najmniejszego sensu. Na początku kodu musi być:

[PHP] pobierz, plaintext 
<?php
session_start();
?>
[PHP] pobierz, plaintext 

Wtedy, możemy dowolnie operować na sesjach. Wszystko pięknie, ale czegoś tu brakuje... a co jeśli będziemy chcieli się wylogować, tutaj z pomocą przychodzi session_destroy" title="Zobacz w manualu PHP" target="_manual, bądź unset" title="Zobacz w manualu PHP" target="_manual, z tą różnicą, że to pierwsze usunie wszystkie zmienne sesyjne, a drugie tylko wybraną:

[PHP] pobierz, plaintext 
<?php
unset( $_SESSION['auth'] );
?>
[PHP] pobierz, plaintext 

To by było Tyle, jeżeli chodzi o samo logowanie, teraz trochę o mysql. Posłużę się do tego kodem, który już wcześniej napisałem na tym forum:

[PHP] pobierz, plaintext 
<?php
$query = mysql_query("SELECT * FROM uzytkownicy WHERE `user` = '" . $_POST['user'] . "'  ");
$fetch = mysql_fetch_array($query);
if ( $fetch ) // jesli user zostanie znaleziony w bazie
{
  if ( md5( $_POST['pass'] ) == $fetch['haslo'] ) // jesli haslo sie zgadza
  {
	 echo 'logowanie zakonczone sukcesem';
  }
  else
  {
	 echo 'Przykro mi, ale podane haslo jest bledne';
   }
}
else
{
   echo 'Podany uzytkownik nie istnieje w bazie danych';
}
 
?>
[PHP] pobierz, plaintext 

Oczywiście do takiego kodu można się przyczepić o kwestię bezpieczeństwa ( sql injection ), ale żeby nie przyciemniać tego przykładu odwołuję Cię do przyczepionego tematu sql injection na forum -> php. A więc przeanalizujmy powyższy kod, użytkownik wpisuje swój login i hasło, następnie wykonujemy zapytanie, które sprawdza czy dany użytkownik istnieje, jeżeli tak sprawdzamy hasło, i miejscu gdzie pojawia się informacja o poprawnym zalogwaniu, możemy dodać naszą zmienną sesyjną.

Mam nadzieję, że już mniej więcej wiesz o co chodzi z logowaniem. Kod pisałem z palca, więc mogą być małe błędy. W razie pytań czy wątpliwości, pisz na forum. (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

Pozdrawiam!

[robos85]

Zrobiłem takie pliki:
logowanie.html:

[HTML] pobierz, plaintext 
<html>
	<head>
		<title>Logowanie</title>
	</head>
	<body>
		<form method="post" action="sprawdz.php">
		  Login: <input type="text" name="login" />
		  Hasło: <input type="password" name="password" />
		  <input type="submit" value="zaloguj sie" />
		</form>
	</body>
</html>
[HTML] pobierz, plaintext 

sprawdz.php:

[PHP] pobierz, plaintext 
<?php
 
define('login', 'robert');
define('haslo', '123456');
 
 
// powyzej badz ponizej przed tym kodem moze byc umieszczony formularz ;)
// najpierw sprawdzamy, czy wysyłane zmienne w formularzu nie są puste.
if ( ! empty( $_POST['login'] ) && ! empty( $_POST['password'] ) )
{
	// jezeli nie dokonujemy sprawdzenia poprawnosci loginu i hasla
	if ( $_POST['login'] == login && $_POST['password'] == haslo )
	{
		// tworzymy zmienna sesyjna
		$_SESSION['zalogowany'] = '1';
	print("Zalogowany");
	}
	else
	{
		echo 'Podales zly login badz haslo!';
	}
}
else
{
	echo 'Wprowadz dane do formularza :)';
}
 
 
?>
[PHP] pobierz, plaintext 

plik.php

[PHP] pobierz, plaintext 
<?php
session_start();
 
if ( isset( $_SESSION['zalogowany'] ) )
{
 
	echo 'Wiadomosc dla zalogowanego uzytkownika';
}
 
?>
[PHP] pobierz, plaintext 

Wchodząc do pliku plik.php nic mi się nie wyświetla.
Może mi ktoś powiedzieć co tu nie tak zrobiłem?

[kwiateusz]

bezpośrednio do plik.php? to czego oczekujesz że zmienna w ifie z powietrza sie wyczaruje?

[robos85]

ok działa oto moje pliki:
logowanie.html pomijam,

sprawdz.php

[PHP] pobierz, plaintext 
<?php
 
define('login', 'robert');
define('haslo', '123456');
 
 
// powyzej badz ponizej przed tym kodem moze byc umieszczony formularz ;)
// najpierw sprawdzamy, czy wysyłane zmienne w formularzu nie są puste.
if ( ! empty( $_POST['login'] ) && ! empty( $_POST['password'] ) )
{
	// jezeli nie dokonujemy sprawdzenia poprawnosci loginu i hasla
	if ( $_POST['login'] == login && $_POST['password'] == haslo )
	{
		// tworzymy zmienna sesyjna
	session_start();
		$_SESSION['zalogowany'] = '1';
	//session_register('zalogowany');
	print("Zalogowany");
	print("<a href="plik.php">Klik</a>");
	}
	else
	{
		echo 'Podales zly login badz haslo!';
	}
}
else
{
	echo 'Wprowadz dane do formularza :)';
}
 
 
?>
[PHP] pobierz, plaintext 

plik.php

[PHP] pobierz, plaintext 
<?php
session_start();
//session_register('zalogowany');
if ( isset( $_SESSION['zalogowany'] ) )
{
 
	echo 'Wiadomosc dla zalogowanego uzytkownika';
	print("<a href="wyloguj.php">Klik</a>");
}
 
else
{
echo 'zaloguj się';
}	
?>
[PHP] pobierz, plaintext 

wyloguj.php

[PHP] pobierz, plaintext 
<?php
 
session_start();
session_destroy();
print("wylogowano");
 
?>
[PHP] pobierz, plaintext 

tylko teraz moje pytanie brzmi: jak przerobić plik sprawdz.php aby po udanym zalogowaniu przeiosło mnie do pliku index.html (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) wiem że trzeba dodać header(...) ale w którym miejscu ?

[kwiateusz]

np. zamiast

[PHP] pobierz, plaintext 
<?php
print("Zalogowany");
	print("<a href="plik.php">Klik</a>");
?>
[PHP] pobierz, plaintext 

[robos85]

kurde rzeczywiście ;p
Ale to wynik tego że nie śpię 19h ponad i po treningu jestem.

to jeszcze tylko pytanko szybkie:

jeżeli jestem już zalogowany, jak mogę wyświetlić ID sesji??

Póki co to mi do szczęścia potrzeba (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

[kwiateusz]

wystarczy manula przejrzeć...
session_id" title="Zobacz w manualu PHP" target="_manual

[robos85]

zrobiłem taki plik:

wybór.html

[HTML] pobierz, plaintext 
<html>
<head>
<title>strona startowa</title>
</head>
<body>
<br>
<?
session_start();
 
if ( isset( $_SESSION['zalogowany'] ) )
   { ?>
	<font size="6" color="blak" face="times"><center><B>Wybierz zadanie:</center></font>
	<br>
	<center><table height="20%" width="20%" border="1">
	<tr><td align="center">
	<a href="obliczenia.html"> kalkulator</a></td></tr>
	<tr><td align="center">
	<a href="zapisz.html"> wysyłanie pliku </a></td></tr></table></center>
	</body>
	</html> <?
   }
else 
   {
	header("Location: wybor.html");
   }
?>
[HTML] pobierz, plaintext 

Chodzi mi o to, żeby był w .html i po wejściu w niego była sprawdzana sesja.
Lecz jak wchodzę zawsze się pokazuje menu. Pewnie plik jest powalony. Jak to przerobić na działający?
Do czego dążę: otóż jak sprawdzać sesję w plikach o rozsz: .html (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) ten wybor.html to przykład, który nie wiem jak rozwiązać i liczę na waszą pomoc

Ten post edytował robos85 20.03.2007, 23:36:20

[Cienki1980]

Jeżeli chcesz korzystać z kodu PHP musisz umieszczać go w plikach *.php

[robos85]

yhm ok będę to robił, bo myślałem że jakoś da radę w *.html zrobić.

[kwiateusz]

da o ile możesz używać plików htaccess (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) poszukaj na google co należałoby wpisać

bo ja akurat nie pamietam (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

[idas]

Yo!
Mam pytanie: przedstawione tutaj kody do logowania dzialaja ok. W momencie w ktorym uzytkownik sie zaloguje mamy zmienna sesyjna, ktora to informuje ze jest zalogowany. Wyobrazmy sobie ze do zmiennej sesyjnej przypisuje nazwe uzytkownika powiedzmy $login. Teraz mam zmienna sesyjna $_SESSION['login'] = $login; i na jej podstawie sprawdzam czy dany uzytkownik jest zalogowany.
Wyczytalem jeszcze, ze w wypadku uzywania sesji trzeba wklepywac na poczatku dokumentu linijke session_start();
Hmmm...moje pytanie jest takie:
W pliku logowanie.php mam skrypt ktory pobiera mi wpisana z klawiatury nazwe uzytkownika, haslo i sprawdza czy w bazie danych w tabeli UZYTKOWNICY jest w kolumnie login i haslo taka sama wartosc jak ta podana przez uzytkownika. Jesli ja znajdzie to utwozy ta zmienna sesyjna $_SESSION['login']=$login; JAK TA ZMIENNA PRZEKAZYWAC NA KOLEJNE PODSTRONY DO KTORYCH BEDE MIAL ODNOSNIKI? W URL raczej odpada bo to kazdy przeciez zobaczy (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)
Dzieki

Ten post edytował idas 26.03.2007, 00:33:32

[strife]

Yo!
Mam pytanie: przedstawione tutaj kody do logowania dzialaja ok. W momencie w ktorym uzytkownik sie zaloguje mamy zmienna sesyjna, ktora to informuje ze jest zalogowany. Ale jak w takim wypadku rozroznic np. uzytkownika Jas od uzytkownika Adam? Bo z tego co widze to w momencie pomyslnego logowania jest tworzona jedna i ta sama zmienna...

Możesz rozróżnić tych użytkowników poprzez nadanie im odpowiednich ról. Czyli w bazie danych tworzysz sobie dwie tabele, w pierwszej masz użytkowników, a w drugiej maski dostępu ( podział na role ). Powiedzmy, że tabela użytkowników zawiera następujące pola

Kod

id | name | password | mask
1     Jaś       md5hash    1
2    Adam    md5hash    2

Natomiast tabela z maskami, będzie wyglądała w ten sposób:

Kod

id | name | has_admin |
1      admin     1
2       user      0

To chyba najprostrzy przykład jaki może być. No i wtedy, w momencie zalogowania dodajesz kolejną zmienną, która będzie odpowiadała za dostęp do panelu administracyjnego. $_SESSION['admin']. W ten sposób możesz rozróżnić użytkowników i przydzielać im odpowiednie role. Poszukaj na forum na ten temat już trochę o tym pisaliśmy.

[PHP] pobierz, plaintext 
<?php
$query = mysql_query("SELECT * FROM uzytkownicy WHERE `user` = '" . $_POST['user'] . "'  ");
$fetch = mysql_fetch_array($query);
if ( $fetch ) // jesli user zostanie znaleziony w bazie
{
  if ( md5( $_POST['pass'] ) == $fetch['haslo'] ) // jesli haslo sie zgadza
  {
	 echo 'logowanie zakonczone sukcesem';
	 $_SESSION['login'] = '1';
	 // dodawanie ról w momencie poprawnego zalogowania
	 $query = mysql_fetch_array( mysql_query("SELECT * FROM maski_dostepu WHERE id = " . $fetch['mask'] . " ") );
	 $_SESSION['has_admin'] = $query['has_admin'];
	 /**
	  * potem sprawdzac czy ktos ma gdzie dostep przykladowo czy Janek moze
	  * wejsc na strone x sprawdzasz tak 
	  * if ( ! empty( $_SESSION['has_admin'] ) )
	  * { 
	  * echo 'masz dostep';
	  * }
	  */
  }
  else
  {
	 echo 'Przykro mi, ale podane haslo jest bledne';
   }
}
else
{
   echo 'Podany uzytkownik nie istnieje w bazie danych';
}
?>
[PHP] pobierz, plaintext 

W prostrzy sposób możesz tych użytkowników rozróżnić, poprzez dodanie pola has_admin w tabeli z użytkownikami, ale takie rozwiązanie jest mało optymalne, bo musisz zmienić tą wartość wtedy u każdego użytkownika, a jak widzisz z podziałem na role zmieniasz to tylko w jednym rekordzie.

uff... mam nadzieję, że teraz już to rozumiesz. Idę spać.

~edit

JAK TA ZMIENNA PRZEKAZYWAC NA KOLEJNE PODSTRONY DO KTORYCH BEDE MIAL ODNOSNIKI?

Nie rozumiem, przecież gdy na początku każdej tej strony będziesz podawał session_start to ta zmienna będzie widoczna, więc nie ma sensu loginu inaczej tego przekazywać. Najlepiej będzie jak sam sobie to sprawdzisz.

Pozdrawiam!

[idas]

Wlasnie sie przekonalem, ze zmienne sesyjne u mnie nie dzialaja:/
Zainstalowalem serwer Apache u siebie na kompie. Jak je wlaczyc?

[strife]

Wlasnie sie przekonalem, ze zmienne sesyjne u mnie nie dzialaja:/
Zainstalowalem serwer Apache u siebie na kompie. Jak je wlaczyc?

Nie działają czyli co dokładniej się dzieje? Jakiś błąd ? Przeczytaj mojego posta w tym temacie, jak tak zrobisz to powiedz czy nadal Ci zmienne sesyjne nie działają.

Pozdrawiam!

[idas]

Yo!
Jednak sesje dzialaja. Jednak mam pewne pytanie:
Jak przepisac zmienna z tablicy $_SESSION?
Bo np. mam zmienna

[PHP] pobierz, plaintext 
<?php
$_SESSION['login_ok'];
?>
[PHP] pobierz, plaintext 

i proba

[PHP] pobierz, plaintext 
<?php
$login = $_SESSION['login_ok'];
?>
[PHP] pobierz, plaintext 

nie przynosi pozytywnych rezultatow :/

[strife]

A jakich rezultatów się spodziewasz, musi działać.

[PHP] pobierz, plaintext 
<?php
session_start(); // moze zapomniales?
$_SESSION['login'] = 'dupa';
$login = $_SESSION['login'];
echo '<pre>';
var_export( $login );
echo '</pre>';
?>
[PHP] pobierz, plaintext 

Nie działa? Napisz coś więcej, bo:

nie przynosi pozytywnych rezultatow :/

Naprawdę mało nam mówi. (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

Pzdr.

[idas]

HeHe nie no o session_start(); to pamietalem;)
Juz wszystko dziala poprawnie.
Ale mam takie pytanie: powiedzmy loguje sie uzytkownik na strone z jednego kompa i dostaje unikalny ID sesji. Mam przez to rozumiec, ze jesli z jakiegos innego kompa na strone zaloguje sie inny uzytkownik to on takze dostanie unikalny ID sesji [inny od tego powyzej] i oboje beda mogli przegladac zawartosc strony, tak?
Innymi slowy: wszystko oparte jest o ten identyfikator sesyjny?

[strife]

zaloguje sie inny uzytkownik to on takze dostanie unikalny ID sesji [inny od tego powyzej] i oboje beda mogli przegladac zawartosc strony, tak?
Innymi slowy: wszystko oparte jest o ten identyfikator sesyjny?

Tak, a te zmienne sesyjne są przechowywane na serwerze w jakimś tam katalogu ( np. tmp/ ) i usuwane co jakiś czas ( żywotność sesji podana jest w php.ini ). Ale nic nie stoi na przeszkodzie abyś sobie sam napisał obsługę sesji i np. trzymaj zmienne sesyjne w bazie danych.

PHP.PL :: Session Handler

Pozdrawiam.

[idas]

Dzieki, poczytam (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

A mam jeszcze jedno pytanie:
czy jest sens przesylac w adresie URL np. identyfikator sesji, czy moze wystarczy w samym kodzie strony pobierac zmienna sesyjna?

Pytam, bo na wielu stronach zauwazylem, ze w URL jest wyswietlany ID sesji...

[strife]

Dzieki, poczytam (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

A mam jeszcze jedno pytanie:
czy jest sens przesylac w adresie URL np. identyfikator sesji, czy moze wystarczy w samym kodzie strony pobierac zmienna sesyjna?

Pytam, bo na wielu stronach zauwazylem, ze w URL jest wyswietlany ID sesji...

To zależy od ustawień użytkownika. Zauważ, że gdy wyłączysz ciasteczka to na tym forum będziesz miał identyfikator sesji przesyłany przez URL. Pytasz czy jest sens, zapewne jakiś jest, ale mało kto wyłącza ciasteczka ( patrz ranking.pl ).

[idas]

Dzieki (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

Ja zrobilem u siebie logowanie tak:
jesli uzytkownik podal login, ktory znajduje sie zapisany w bazie danych, oraz haslo pasujace do loginu [takze zapisane w bazie danych], to tworze zmienna $_SESSION[ok]=$login; , gdzie $login to nazwa uzytkownika.
Nastepnie na kazdej stronie mam linijke session_start(); i sprawdzam if($_SESSION[ok]). Jesli warunek zwraca true to wyswietlam zabezpieczona tresc strony, w przeciwnym wypadku wyswietlam "jawna" czesc strony. Czy takie zabezpieczenie jest wystarczajace, czy moze jest do bani? (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

[super_e107]

Sorki że odkopuje, ale nie ma sensu pisać nowego tematu bo dostałbym link do tego, czy ktoś może podać wszystkie pliki jak mają wyglądać i rejestracja łącze z plikiem *sql ?

[Dex19]

Witam,
tym razem ja odkopię (IMG:style_emoticons/default/winksmiley.jpg) Jestem (php przedszkolakiem) w trakcie pisania systemu logowania www(php)->mysql. Podpieram się gotowcem http://phpsense.com/php/php-login-script.html.

Zastanawia mnie jedna sprawa.
1) logowanie (u mnie) odbywa się na zasadzie sprawdzenia czy w tabeli 'uzytkownicy' danej bazy jest użytkownik wraz z hasłem podanym na stronie logowania
2) sprawdzenie to odbywa się dzięki połączeniu z bazą przy pomocy loginu i hasła wpisanego w "includowanym" ../../incledes/configu.php
3) po poprawnej weryfikacji z punktu 1 przypisujemy zmienne sesyjne itd

Pytania do powyższego:
1) Czy to oznacza, że mimo iż przypiszemy login (podany w formularzu logowania i znaleziony w tabeli użytkowników) to i tak fizycznie działamy na koncie o którym mowa w pkt. 2?
(ja tak właśnie to rozumiem)
2) Jeśli tak to czy takie rozwiązanie jest bezpieczne? - chodzi mi tu konkretnie o kwestię tego, że wszyscy tak naprawdę działają na jednym koncie fizycznie utworzonym na serwerze mysql, a ich "konta" z tabeli użytkownicy danej bazy są fikcyjnymi z punktu widzenia tegoż serwera.
3) Jeśli tak (pyt nr1) to czy tak to powinno profesjonalnie wyglądać i taka jest praktyka (jeden user + role dla kont tabeli uzytkownicy) czy też każdy użytkownik powinien mieć swoje faktyczne konto na serwerze mysql i poprzez jakiś panel administracyjny powinno się nadawać mu prawa do poszczególnych baz/tabel/kolumn itd.

Proszę mnie poprawić jeśli się myle, ale w/g mnie to chyba lepsze rozwiązanie z jednym użytkownikiem. Sam generuję mu bardzo mocne hasło, nadaję najpotrzebniejsze prawa i nie martwię się tym, że jakiś user z trochę wyższymi uprawnieniami ustawił sobie hasło 'mama' do konta które jest fizycznie utworzonym na serwerze.
Chyba, że moje założenie o niedostępności includowanego pliku jest błędne (IMG:style_emoticons/default/winksmiley.jpg)


pozdrawiam i dziękuję za odpowiedź
Dex19

Na pytanie 1 już chyba już sobie sam odpowiedziałem (IMG:style_emoticons/default/winksmiley.jpg) (IMG:style_emoticons/default/questionmark.gif) ?

łącząc się z bazą za pomocą

Kod

(mysql_connect($serwer, $login, $haslo) and mysql_select_db($baza));

wtedy przy użyciu zmiennych sesyjnych i mogę działać na loginie i haśle podanym przez usera (IMG:style_emoticons/default/winksmiley.jpg)

pozostając w temacie bezpieczeństwa - które z poniższych rozwiązań jest właściwe? (o ile wogóle któreś jest (IMG:style_emoticons/default/winksmiley.jpg) )

Opcja pierwsza:
1) aplikacja przewiduje 3 role
2) tworzę 3 userów, którym grantem nadaję w bazie prawa do odpowiedniech operacji na poszczegolnych tabelach/kolumnach itd
3) przy logowaniu do systemu sprawdzam role usera i do bazy już loguję go przy użyciu wcześniej utworzonego w pkt 2 konta-roli

Opcja druga:
1) Każdy user ma fizycznie utworzone konto na serwerze MySql
2) W tabeli uzytkownicy (bazy roboczej, nie serwera) przypisane są role i po stronie kodu, warunkami stworzony system dostępu na podstawie ról

Opcja trzecia:
1) Jedno konto za pomoca którego cały czas łączę się z bazą
2) W tabeli uzytkownicy (bazy roboczej, nie serwera) przypisane są role i po stronie kodu, warunkami stworzony system dostępu na podstawie ról

pozdrawiam

[Noidea]

Na większości (jak nie wszystkich) hostingach współdzielonych nie możesz tworzyć nowych użytkowników w MySQL, więc stosuje się opcję 3. Potem strona się rozrasta, przechodzi na VPS albo dedyk, ale założenia zostają po staremu.

Opcja druga byłaby pewnie strasznie upierdliwa w zarządzaniu.

Opcja trzecia pierwsza jest ok jeśli masz możliwość jej zastosowania. Utworzenie osobnego użytkownika MySQL dla administratorów strony, osobnego dla operacji na newralgicznych danych (login, hasło, email, itp.) i osobnego dla całej reszty zapytań spowoduje, że nawet jeśli ktoś znajdzie lukę w twoim kodzie "wyświetlania 5 najnowszych komentarzy z bazy", to i tak do niczego ciekawego się nie dokopie.


EDIT
@Dex19 Tak, chodziło mi o opcję pierwszą. Jakoś tak wyszło, że opisuję te opcje od tyłu i się zamotałem.

Ten post edytował Noidea 27.01.2011, 01:20:34

[Dex19]

bardzo dziękuję za odpowiedź

Opcja trzecia jest ok jeśli masz możliwość jej zastosowania. Utworzenie osobnego użytkownika MySQL dla administratorów strony, osobnego dla operacji na newralgicznych danych (login, hasło, email, itp.) i osobnego dla całej..

zakładam że chodziło tu o opcję pierwsza (IMG:style_emoticons/default/smile.gif) ?

[shaolin33]

ok działa oto moje pliki:
logowanie.html pomijam,

sprawdz.php

[PHP] pobierz, plaintext 
<?php
 
define('login', 'robert');
define('haslo', '123456');
 
 
// powyzej badz ponizej przed tym kodem moze byc umieszczony formularz ;)
// najpierw sprawdzamy, czy wysyłane zmienne w formularzu nie są puste.
if ( ! empty( $_POST['login'] ) && ! empty( $_POST['password'] ) )
{
	// jezeli nie dokonujemy sprawdzenia poprawnosci loginu i hasla
	if ( $_POST['login'] == login && $_POST['password'] == haslo )
	{
		// tworzymy zmienna sesyjna
	session_start();
		$_SESSION['zalogowany'] = '1';
	//session_register('zalogowany');
	print("Zalogowany");
	print("<a href="plik.php">Klik</a>");
	}
	else
	{
		echo 'Podales zly login badz haslo!';
	}
}
else
{
	echo 'Wprowadz dane do formularza :)';
}
 
 
?>
[PHP] pobierz, plaintext 

plik.php

[PHP] pobierz, plaintext 
<?php
session_start();
//session_register('zalogowany');
if ( isset( $_SESSION['zalogowany'] ) )
{
 
	echo 'Wiadomosc dla zalogowanego uzytkownika';
	print("<a href="wyloguj.php">Klik</a>");
}
 
else
{
echo 'zaloguj się';
}	
?>
[PHP] pobierz, plaintext 

wyloguj.php

[PHP] pobierz, plaintext 
<?php
 
session_start();
session_destroy();
print("wylogowano");
 
?>
[PHP] pobierz, plaintext 

tylko teraz moje pytanie brzmi: jak przerobić plik sprawdz.php aby po udanym zalogowaniu przeiosło mnie do pliku index.html (IMG:style_emoticons/default/questionmark.gif) wiem że trzeba dodać header(...) ale w którym miejscu ?

witaj,

podeslesz poprawiony kod sprawdz.php (IMG:style_emoticons/default/questionmark.gif) (IMG:style_emoticons/default/questionmark.gif)