md5 i sesja Opcje

[mitp]

Witam.

Moje pytanie jest następujące: Hasła w bazie są kodowane. Przy logowaniu zakodowane hasła porownuje za pomocą:

[PHP] pobierz, plaintext 
<?php
$password = md5($password);
$zapytanie = "SELECT * FROM cos WHERE
					 user = '$user' and
					 password = '$password' ";
?>
[PHP] pobierz, plaintext 

czyli bez "$password = md5($password);" nie szło bo widział inne hasła a nie zakodowane ...

teraz pytanie - jezeli pare linijek niżej tworzę sesję to ...

1) sesja utworzy mi się z zakodowanym hasłem?

[PHP] pobierz, plaintext 
<?php
session_register("password");
?>
[PHP] pobierz, plaintext 

[My4tic]

1. Używaj $_GET/$_POST/$_SESSION itd.
2. Nie:

[PHP] pobierz, plaintext 
<?php
$password = md5($password);
?>
[PHP] pobierz, plaintext 

Operator porównania to '==' a nie '=' więc:

[PHP] pobierz, plaintext 
<?php
$password == md5($password);
?>
[PHP] pobierz, plaintext 

3. Nie używaj session_register();
4. Po co w ogole trzymać w sesji hasło? Zakodowane czy nie? Podczas logowania sprawdzasz czy user podał dobry login i hasło - jeśli tak to do sesji zapisz sobie np.:

[PHP] pobierz, plaintext 
<?php
$_SESSION['bUserStatus'] = TRUE;
?>
[PHP] pobierz, plaintext 

...i po tym rozpoznajesz czy user jest zalogowany czy nie.

[mitp]

Ok. to moze poprosze o pomoc jak miało by to wyglądać poprawnie. Ja mam tak:

formularza nie bede przedstawial. skrypt autoryzacja.php

[PHP] pobierz, plaintext 
<?php
 
  $user = $_POST['user'];
  $password = $_POST['password'];
 
  if (($user=='') AND ($password=='')) {
  header("Location: blad1.php");
  exit;
  } else {
  // połącz sie z MySQL
  $conn = mysql_connect( "localhost", "...", "..." );
  if(!$conn) {
  echo 'Brak połączenia z bazą danych.';
  exit;
  }
  // wybierz właściwą bazę danych
  $db = mysql_select_db('aaa');
  if(!$db) {
  echo 'Błąd wyboru bazy danych.';
  exit;
  }
  // znajdź pasujący wiersz
  $password == md5($password);
  $zapytanie = "SELECT * FROM bbb WHERE
					   user = '$user' and
					   password = '$password' ";
  $wynik = mysql_query( $zapytanie );
  if(!$wynik) {
  echo 'Nie można wykonać zapytania.';
  exit;
  }
 
  $wiersz = mysql_fetch_row( $wynik );
  $ile = $wiersz[0];
  if ( $ile > 0 ) {
 
  session_start();
  session_register("user");
 
  header("Location: cos/index.php");
  } else {
  header("Location: blad2.php");
  }
}
 
?>
[PHP] pobierz, plaintext 

pozniej na kazdej podstwonie zaczyna mi sie w ten sposob:

[PHP] pobierz, plaintext 
<?php
 
 session_start();
 if (!isset($user)) {
 header("Location: blad_autoryzacji.php");
	exit;
 } else {
 
echo'tresc strony';
}
 
?>
[PHP] pobierz, plaintext 

Jeśli chodzi o tabele mam w niej pola:
- id
- user
- password
- status
( status moze przyjac wartość 0 "standardowo dla normalnych uzytkownikow" i 1 dla "administratora" )

I tu mam pytanie. Jak rozpoznać, jakie wykonać zapytanie ażeby sprawdzić jaki status ma dany użytkownik.
Chodzi mi o to że np. jak mam strone index.php ( to tu mogą wchodzić wszyscy ( uzytkownicy którzy mają status 0), ale po wejściu np. do strony tajna.php chcę sprawdzić który użytkownik ma status 1, a który 0 w bazie.
Ten co ma status 1 będzie mógł zobaczyć zawartość strony, a ten co ma 0 pojawi mu sie komunikat iż nie ma uprawnień do przeglądania tej strony.

Tylko jak to zapisac??

pomozecie?

Ten post edytował mitp 11.09.2006, 22:20:48

[My4tic]

Źle mnie zrozumiałeś w kilku sprawach więc Ci to poprawie.

[PHP] pobierz, plaintext 
<?php
session_start();
$user = strip_tags($_POST['user']);
  $password = strip_tags($_POST['password']);
 
  if ( empty($user) OR empty($password) ) {
	  header('Location: blad1.php');
  exit;
  } 
 
  else {
  $conn = mysql_connect( 'localhost', '...', '...' );
  if(!$conn) {
	   echo 'Brak połączenia z bazą danych.';
	   exit;
  }
 
  $db = mysql_select_db('aaa');
  if(!$db) {
	   echo 'Błąd wyboru bazy danych.';
	   exit;
  }
 
  $password = md5($password); 
  $zapytanie = 'SELECT * FROM bbb WHERE user = '.$user.' AND password = '.$password;
  $wynik = mysql_query( $zapytanie );
  if(!$wynik) {
	  echo 'Nie można wykonać zapytania.';
	  exit;
  }
 
  $wiersz = mysql_fetch_row( $wynik );
  $ile = $wiersz[0];
  if ( $ile > 0 ) {
	   $_SESSION['bUserStatus'] = TRUE; // zalogowany
	   header('Location: cos/index.php'); // tresc dla zalogowanego
  } 
 
  else {
  header('Location: blad2.php');
  }
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
session_start();
 if ( $_SESSION['bUserStatus'] == FALSE ) { // nie jest zalogowany
		header('Location: blad_autoryzacji.php');
	exit;
 } 
 else  echo'tresc strony';
?>
[PHP] pobierz, plaintext 

I tu mam pytanie. Jak rozpoznać, jakie wykonać zapytanie ażeby sprawdzić jaki status ma dany użytkownik.
Chodzi mi o to że np. jak mam strone index.php ( to tu mogą wchodzić wszyscy ( uzytkownicy którzy mają status 0), ale po wejściu np. do strony tajna.php chcę sprawdzić który użytkownik ma status 1, a który 0 w bazie.
Ten co ma status 1 będzie mógł zobaczyć zawartość strony, a ten co ma 0 pojawi mu sie komunikat iż nie ma uprawnień do przeglądania tej strony.

Tylko jak to zapisac??

W SQL nie trzymasz zadnego statusu usera. Do tego masz sesje. Skrypt powinien działać.

Ten post edytował My4tic 11.09.2006, 22:37:04

[mitp]

Witam. Dzieki śliczne za poprawe powyzszej czesci. Wszystko działa jak należy. Tylko co do tego statusu troszku się nie zrozumieliśmy. Nie chciałem go wykorzystać jako sprawdzenia czy użytkownik podał właściwe hasło czy nie, tylko do sprawdzenia jego "praw".

Chodziło mi o to, że (opisze to moze):

uzytkownik sie loguje, po praw. podaniu log. i hasla zostaje zalogowany i przekieowany do właściwej strony. Powiedzmy ze mamy strony index.php, aktualnosci.php i tajna.php. Status uzytkownika chciałem wykorzystać, azeby ograniczyć, rozdzielić "prawa" userów. Status 0 - oznacza inaczej zwykłego uzytkownika, bez praw np. modyfikacji newsów i tym samym uzytkownik posiadajacy status 0 nie będzie mógł wejść na stronę tajna.php mimo iż jest zalogowany w serwisie. Natomiast uzytkownik ze statusem 1 (czyli inaczej patrzac na to kontem administratora ) bedzie mógł poruszać się po wszystkich podstronach, tym sammym bedzie mógł wejsc do strony.tajna.php i modyfikowac newsy. Do tego chcialem wykozrystać dodatkowy rekord w tabeli, azeby nie robic dodatkowo panelu administratora ...

moze teraz wyjasniłem jasniej o co mi chodzilo ... tylko nei wiem jak to przelac na php (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

[My4tic]

To dodaj sobie jeszcze jedną zmienną do sesji i po problemie.

[PHP] pobierz, plaintext 
<?php
.
. // poprawne logowanie
.
 
$_SESSION['bUserStatus'] = TRUE;
if ( $UserID == 1 ) $_SESSION['iAccessLevel'] = 0; // admin - pierwszy user z bazy SQL, czy jakoś inaczej, zależy jak to robisz
else $_SESSION['iAccessLevel'] = 1; // zwykły user
.
.
.
?>
[PHP] pobierz, plaintext 

Ten post edytował My4tic 12.09.2006, 15:39:24