[php] Skrypt logowania, Bezpieczny ? :D Opcje

[Snap]

Czy ten skrypt jest bezpieczny (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) ? Jakieś sugestie ?

[PHP] pobierz, plaintext 
<?php
 
session_start();
 
if(isset($_POST['submit']))
 
{
 
  $test1=$_POST['login'];
 
  $test2=$_POST['haselko'];
 
  $haselko=md5($haselko);
 
  $pobierz1="SELECT * from ts_sites where nazwa='$test1' and haslo='$test2";
 
  $pobierz2=mysql_query($pobierz1) or die(mysql_error());
 
  $pobierz3=mysql_fetch_array($pobierz2);
 
  if($pobierz3)
 
  {
 
	 $_SESSION['logowanie1']=$_POST['login'];
 
	 print "Zalogowany";
  }
 
  else
 
  {
 
	print "Błędny login lub hasło";
 
  }
 
}
 
?>
[PHP] pobierz, plaintext 

Ten post edytował Snap 28.02.2007, 16:09:07

[JaRoPHP]

Sugestie:
1. Manual (http://pl.php.net/manual/pl/language.variables.php):

Poprawna nazwa zmiennej zaczyna się od litery lub znaku podkreślenia "_",

2. Do algorytmu md5(), dodałbym jeszcze jakieś "ziarno", np.:

[PHP] pobierz, plaintext 
<?php
$seed = 'JakisNapis';
$haselko=md5(md5($seed) . $haselko . $seed);
?>
[PHP] pobierz, plaintext 

3. Proponuję "oczyszczać" wszystkie zmienne otrzymane od użytkownika, np. funkcją htmlentities" title="Zobacz w manualu PHP" target="_manual.
4. Przy sprawdzeniu istnienia rekordu, skorzystałbym z funkcji mysql_num_rows" title="Zobacz w manualu PHP" target="_manual.