[skrypt] uniwersalny skrypcik logowania Opcje

[epud]

jako, że zaczynam dopiero zabawe z obiektowym php prosze o ocene skrypciku na ponize, jest to "uniwersalny" skrypcik logowania uzytkownika do systemu... zalozenie bylo takie abym mogl to prosto przystosowac do innych projetkow bez za duzego grzebania w kodzie, dla tego podajemy nazwe tabeli z uzytkownikami, i nazwe pol z loginem i haslem

co myslicie nadaje sie?

a pod wzgledem obiektowym?

[PHP] pobierz, plaintext 
<?php 
class auth{
	var $db = NULL;
	var $table_name;
	var $login_name;
	var $pass_name;
	var $md5;
	var $login;
	var $pass;
	var $dbpass;
	var $errors = array();
	public function __construct($db, $table_name, $login_name, $pass_name, $md5 = false){
		session_start();
		//$_SESSION['isLoggedIn'] = false;
		$this -> db = $db;
		$this -> table_name = $table_name;
		$this -> login_name = $login_name;
		$this -> pass_name = $pass_name;
		$this -> md5 = $md5;
	}
	public function authorize($login, $pass){
		if(empty($login) || empty($pass)){
			array_push($this -> errors, 'login i hasło nie mogą być puste');
			return false;
		}
		$this -> login = $login;
		if($this -> md5){
			$this -> pass = md5($pass);
		}
		else{
			$this -> pass = $pass;
		}
		if($this -> getPass()){
			if($this -> pass == $this -> dbpass){
				$_SESSION['isLoggedIn'] = true;
				$_SESSION['userData'] = $this -> getUserData();
				header("Location: index.php");
			}
			else{
				array_push($this -> errors, 'błędny login lub hasło');
			}
		}
		else{
			array_push($this -> errors, 'błędny login lub hasło');
		}
	}
	private function getPass(){
		$this -> dbpass = $this -> db -> GetOne("SELECT ". $this -> pass_name ." FROM ". $this -> table_name ." WHERE ". $this -> login_name." = '".$this -> login."'");
		if($this -> dbpass){
			return true;
		}
		return false;
	}
	public function isLoggedIn(){
		return $_SESSION['isLoggedIn'];
	}
	private function getUserData(){
		return trim_array($this -> db -> GetRow("SELECT * FROM ".$this -> table_name." WHERE ".$this -> login_name." = '".$this -> login."'"));
	}
}
?>
[PHP] pobierz, plaintext 

sprawdzanie czy zalogowany czy nie..

[PHP] pobierz, plaintext 
<?php 
$auth = new auth($db, PREFIX."users", 'user_name', 'user_pass', true);
/* END AUTH */
 
if($auth -> isLoggedIn()){//jesli zalogowany
	$smarty -> display('index.tpl');
}
else{//jesli nie zalogowany
	$smarty -> display('loginForm.tpl');
}//if($auth -> isLoggedIn())
?>
[PHP] pobierz, plaintext 

wersyfikacjia usera

[PHP] pobierz, plaintext 
<?php
$auth = new auth($db, PREFIX."users", 'user_name', 'user_pass', true);
$auth -> authorize($_POST['login']['user_name'], $_POST['login']['user_pass']);
?>
[PHP] pobierz, plaintext 

z gory dzieki za wszelkie wypowiedzi (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)

Ten post edytował epud 5.06.2006, 18:03:37

[epud]

no to wiem:) tylko chodziło mi raczej po co skoro są wyjątki

eee. no dobra ale z tego co sie orientuje wyjatek zatrzyma wykonywanie strony dalej tak? a jak chce tylko napisac nad formem logowania ze bledne haslo jest nic wiece, zaden z tych bledow nie jest krytyczny

1. jeśli funkcje nazywasz public, to zmienne nazwij konsekwentnie (teraz masz var $zmienna) private (tutaj jest wyjaśnione dlaczego)
2. uważaj z zapytaniem:

[PHP] pobierz, plaintext 
<?php
"SELECT ". $this -> pass_name ." FROM ". $this -> table_name ." WHERE ". $this -> login_name." = '".$this -> login."'"
?>
[PHP] pobierz, plaintext 

na SQL Injection/Insertion.

masz racjie z tym sql injection... tzn w tym przypadku dbam o to zanim wysle zmienne do klasy... na samyum pocatku stronki mam cos takiego:

[PHP] pobierz, plaintext 
<?php
$_POST = trim_array($_POST);
?>
[PHP] pobierz, plaintext 

co usuwa z tresc zmiennych, select, insert, delete tip... i trimuje kazda zniemmna (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg) chyba powinno stykac co? ;>

no i zaraz poczytam o tych zmiennych private itp

[Jarod]

[PHP] pobierz, plaintext 
<?php
$_POST = trim_array($_POST);
?>
[PHP] pobierz, plaintext 

Jeśli mam do przefiltrowania kilka zmiennych POST i klika GET to zamiast filtrować je po kolei, np tak:

[PHP] pobierz, plaintext 
<?php
$_POST['zmienna1']=intval($_POST['zmienna1']);
$_POST['zmienna2']=strval($_POST['zmienna2']);
 
$_GET['zmienna1']=intval($_GET['zmienna1']);
$_GET['zmienna2']=strval($_GET['zmienna2']);
?>
[PHP] pobierz, plaintext 

Mogę zastąpić tak:

[PHP] pobierz, plaintext 
<?php
$_POST = intval($_POST);
$_POST = strval($_POST);
?>
[PHP] pobierz, plaintext 

(IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) ?