[PHP]Bezpieczne przekierowanie po zalogowaniu Opcje

[Laran]

Hej.

Po zalogowaniu użytkownika chce go bezpiecznie przekierować na poprzednią stronę . Poprzez "bezpiecznie" mam na myśli że będzie to przekierowanie odporne na "majsterkowanie" innych i użytkownik zostanie przekierowany na poprzednią stronę (lub w najgorszym przypadku [jeśli ktoś zacznie "majsterkować"] użytkownik zostanie przekierowany na inną stronę, ale nadal w mojej domenie). Napisałem coś takiego:

W formularzu znajduje się to:

[HTML] pobierz, plaintext 
<input type="hidden" name="location" value="<?php echo $_SERVER['HTTP_REFERER']?>" />
[HTML] pobierz, plaintext 

A kod przekierowania to:

[PHP] pobierz, plaintext 
if($login) {
	if($_GET['location'])  {
		$url = escape(trim($_GET['location']));
  		$res = parse_url($url);
 
		if($res['scheme'] === 'http' && $res['host'] === 'mojastrona.pl') {
			header('Location: '.$url);
                        exit();
		} else {
			header('Location: index.php');
                        exit();
		}
	} else {
		header('Location: index.php');
                exit();
	}
}
[PHP] pobierz, plaintext 

Funkcja escape() to:

[PHP] pobierz, plaintext 
function escape($string) {
	return htmlentities($string, ENT_QUOTES, 'UTF-8');
}
[PHP] pobierz, plaintext 

Czy to jest bezpieczne? Zapomniałem o czymś? (IMG:style_emoticons/default/smile.gif)

Ten post edytował Laran 14.06.2014, 10:49:46

[Laran]

Pole "location" zawiera rezultat $_SERVER['HTTP_REFERER']. Jeśli ktoś został przekierowany z www.example.com na stronę logowania i się zaloguje poprawnie to zostanie przekierowany spowrotem na www.example.com (bo to był jego REFERER). Jednak gdy adres zostanie sprawdzony i link okaże się stroną zewnętrzną to przekierowany na index.php.

PS. Sorry, w przykładzie był błąd. To jest $_POST['location'], a nie $_GET['location'].