[inny] YII - logowanie Opcje

[skorpionek93]

Witam.
Jestem nowy w temacie frameworków, YII jest pierwszym, którego się uczę więc jestem jeszcze lekko zagubiony. Przestudiowałem książke Helionu o YII (nie zachwyciła mnie szczerze mówiąc) ale nadala wielu rzeczy nie rozumiem. Moje pytanie dotyczy bezpieczeństwa takiego skryptu logowania:

Model:

[PHP] pobierz, plaintext 
<?php
 
class Uzytkownicy extends CActiveRecord
{
 
	public function tableName()
	{
		return 'spr_uzytkownicy';
	}
 
 
	public function rules()
	{
 
		return array(
			array('uzytkownik_login, uzytkownik_haslo', 'required'),
			array('uzytkownik_login, uzytkownik_haslo', 'length', 'max'=>50),
		);
	}
 
 
	public function relations()
	{
 
		return array(
		);
	}
 
	public function attributeLabels()
	{
		return array(
			'uzytkownik_id' => 'ID',
			'uzytkownik_login' => 'Login',
			'uzytkownik_haslo' => 'Hasło',
		);
	}
 
	public static function model($className=__CLASS__)
	{
		return parent::model($className);
	}
}
?>
[PHP] pobierz, plaintext 

Widok

[PHP] pobierz, plaintext 
<h1>Zaloguj się</h1>
<div class="form">
 
<?php
 
$form=$this->beginWidget('CActiveForm', array(
 
    'id' => 'uzytkownicy-zaloguj-form',
    'enableAjaxValidation' => FALSE
 
));
 
?>
 
    <p>Pola oznaczone * są wymagane</p>
 
 
<?php   echo $form->errorSummary($Model);   ?>
 
<div class="row">
<?php    echo $form->labelEx($Model, 'uzytkownik_login');   ?>
<?php    echo $form->textField($Model, 'uzytkownik_login');   ?>  
<?php    echo $form->error($Model, 'uzytkownik_login');   ?>    
</div>
 
<div class="row">
<?php    echo $form->labelEx($Model, 'uzytkownik_haslo');   ?>
<?php    echo $form->passwordField($Model, 'uzytkownik_haslo');   ?>  
<?php    echo $form->error($Model, 'uzytkownik_haslo');   ?>    
</div>
 
<div class="row buttons">
<?php    echo CHtml::submitButton('Zaloguj');   ?>
</div>
 
<?php   $this->endWidget(); ?>
 
</div>
[PHP] pobierz, plaintext 

Kontroler:

[PHP] pobierz, plaintext 
<?php
 
class TestController extends Controller
{
 
	public function actionIndex()
	{
 
            $this->pageTitle = 'Zaloguj';
 
            $Model = new Uzytkownicy;
 
 
             if(isset($_POST['Uzytkownicy']))
            {
 
                 $Model->attributes = $_POST['Uzytkownicy'];
 
                if($Model->validate())
                {
 
                    $Ile = $Model->count(
 
                        'uzytkownik_login = :UzytkownikLogin AND uzytkownik_haslo = :UzytkownikHaslo',
                        array(
 
                            ':UzytkownikLogin' => $Model->attributes['uzytkownik_login'],
                            ':UzytkownikHaslo' => $Model->attributes['uzytkownik_haslo']
 
                        ));
 
                     if($Ile == 1)
                    {
 
                        Yii::app()->session['zalogowany'] = 'tak';
 
                        $Rezultat = $Model->findAll(
 
                        'uzytkownik_login = :UzytkownikLogin AND uzytkownik_haslo = :UzytkownikHaslo',
                        array(
 
                            ':UzytkownikLogin' => $Model->attributes['uzytkownik_login'],
                            ':UzytkownikHaslo' => $Model->attributes['uzytkownik_haslo']
 
                        )
 
                        );
 
                        foreach ($Rezultat as $RezultatWiersz)
                        {
 
                            Yii::app()->session['root'] = $RezultatWiersz->uzytkownik_id;
 
                        }
                }
 
 
            }
 
            }
 
            $this->render('index', array(
 
                'Model' => $Model,
 
            ));
 
 
}
 
        public function actionWyloguj()
	{
 
            Yii::app()->session['zalogowany'] = '';
 
            Yii::app()->session['root'] = '';
 
            $this->redirect(array('test/'));
	}
 
}
?>
[PHP] pobierz, plaintext 

Ten skrypt jest napisany na podstawie tej właśnie książki (a raczej w większości z niej przepisany z moimi lekkimi zmianami).
Chciałbym się dowiedzieć czy tak przygotowany skrypt logowania jest bezpieczny i może być bez obaw zastosowany na stronach opublikowanych online?
Bo powiem szczerze, że mam lekkie obawy gdyż wiem ile trzeba sobie zadać trudu pisząc coś takiego w czystym PHP (głównie chodzi o walidację).
Przepraszam za tak laickie pytanie ale jestem mocno początkujący a do dyspozycji mam tylko tą książkę i dokumentację, która jest napisana dosyć ciężkim wg mnie językiem. Praktycznie nie ma innych źródeł w języku polskim.
Pozdrawiam i z góry dziękuję za odpowiedzi.

[skorpionek93]

Jeśli chodzi o hashowanie to w kilku przykładach było realizowane za pomocą md5 ale je wyciąłem chwilowo żeby kod był czytelniejszy (podczas kombinowania z niedziałającym kodem im mniej znaków tym lepiej) a później zapomniałem dokleić ale oczywiście.
Dziękuję za pomoc (IMG:style_emoticons/default/smile.gif)
To moje początki z Yii więc pewnie jeszcze niejedno pytanie zadam w tym dziale (IMG:style_emoticons/default/tongue.gif)
Pozdrawiam

Edit://
Czyli rozumiem, że hashowanie najlepiej wykonać tutaj:

[PHP] pobierz, plaintext 
// LoginForm.php
 
 public function authenticate($attribute,$params)
{
$this->_identity=new UserIdentity($this->username,$this->password);
if(!$this->_identity->authenticate())
{
$this->addError('password','Incorrect username or password.');
}
[PHP] pobierz, plaintext 

czyli przed przekazaniem hasła do UserIdentity? Dobrze myślę?

Ten post edytował skorpionek93 14.04.2014, 18:50:01