[PHP]Bezpieczne przekierowanie po zalogowaniu Opcje

[Laran]

Hej.

Po zalogowaniu użytkownika chce go bezpiecznie przekierować na poprzednią stronę . Poprzez "bezpiecznie" mam na myśli że będzie to przekierowanie odporne na "majsterkowanie" innych i użytkownik zostanie przekierowany na poprzednią stronę (lub w najgorszym przypadku [jeśli ktoś zacznie "majsterkować"] użytkownik zostanie przekierowany na inną stronę, ale nadal w mojej domenie). Napisałem coś takiego:

W formularzu znajduje się to:

[HTML] pobierz, plaintext 
<input type="hidden" name="location" value="<?php echo $_SERVER['HTTP_REFERER']?>" />
[HTML] pobierz, plaintext 

A kod przekierowania to:

[PHP] pobierz, plaintext 
if($login) {
	if($_GET['location'])  {
		$url = escape(trim($_GET['location']));
  		$res = parse_url($url);
 
		if($res['scheme'] === 'http' && $res['host'] === 'mojastrona.pl') {
			header('Location: '.$url);
                        exit();
		} else {
			header('Location: index.php');
                        exit();
		}
	} else {
		header('Location: index.php');
                exit();
	}
}
[PHP] pobierz, plaintext 

Funkcja escape() to:

[PHP] pobierz, plaintext 
function escape($string) {
	return htmlentities($string, ENT_QUOTES, 'UTF-8');
}
[PHP] pobierz, plaintext 

Czy to jest bezpieczne? Zapomniałem o czymś? (IMG:style_emoticons/default/smile.gif)

Ten post edytował Laran 14.06.2014, 10:49:46

[Damonsson]

Ale co to ma wspólnego z bezpieczeństwem? Przekierowanie, jak przekierowanie. To na stronie na którą przekierowujesz, musisz sprawdzać czy ktoś ma uprawnienia do jej oglądania, bo jak trzymasz tam nr konta i hasło do banku, gdzie trzymasz 1.000.000.000$ to zawsze ktoś może 10 lat wpisywać różne URL i sobie zgadnąć w końcu.

[Laran]

To na stronie na którą przekierowujesz, musisz sprawdzać czy ktoś ma uprawnienia do jej oglądania, bo jak trzymasz tam nr konta i hasło do banku, gdzie trzymasz 1.000.000.000$ to zawsze ktoś może 10 lat wpisywać różne URL i sobie zgadnąć w końcu.

Chodzi o to by użytkownik trafiał na index.php jeśli adres podany w "location" jest linkiem zewnętrznym. Chyba, że coś pomyliłem:P

Ten post edytował Laran 14.06.2014, 12:09:30