[PHP]Czy jest to wystarczające zabezpieczenie? - autoryzacja Opcje

[b_chmura]

Witam

Chciałbym się zapytać was ludzi z doświadczeniem i pomysłem czy takie zabezpieczenie jest wystarczające:

[PHP] pobierz, plaintext 
<?php
//logowanie - jeśli login i hasło są poprawne tworzy się sesja zakodowanego przez md5 loginu 
i hasla
function loguj($login, $pass) 
{
  $spr = mysql_query("SELECT * FROM `USER` WHERE `login` = 'login' AND `haslo` = '$pass'" LIMIT 0,1);
 
  if(mysql_num_rows($spr) == 1)
  {
	$_SESSION['login'] = md5($login.$pass);
	return true;
  }
  else
  {
	return false;
  }
}
//sprawdzanie czy user jest zalogowany - jeśli dane wyciągnięte i zakodowane przez md5 zgadzają sie z sesją wszystko jes
t ok
function spr_usr()
{
  $query = mysql_query("SELECT * FROM `USER` WHERE `login` = '$login' AND `haslo` = '$pass'");
 
  while($user  = mysql_fetch_array($query))
  {
	if(md5($user['login'].$user['haslo']) = $_SESSION['login'])
	{
	  return true;
	}
	else
	{
	  return false;
	}
  }
}
?>
[PHP] pobierz, plaintext 

przejdzie to?

[templar]

Witam

Chciałbym się zapytać was ludzi z doświadczeniem i pomysłem czy takie zabezpieczenie jest wystarczające:

[PHP] pobierz, plaintext 
<?php
//logowanie - jeśli login i hasło są poprawne tworzy się sesja zakodowanego przez md5 loginu 
i hasla
function loguj($login, $pass) 
{
  $spr = mysql_query("SELECT * FROM `USER` WHERE `login` = 'login' AND `haslo` = '$pass'" LIMIT 0,1);
 
  if(mysql_num_rows($spr) == 1)
  {
	$_SESSION['login'] = md5($login.$pass);
	return true;
  }
  else
  {
	return false;
  }
}
//sprawdzanie czy user jest zalogowany - jeśli dane wyciągnięte i zakodowane przez md5 zgadzają sie z sesją wszystko jes
t ok
function spr_usr()
{
  $query = mysql_query("SELECT * FROM `USER` WHERE `login` = '$login' AND `haslo` = '$pass'");
 
  while($user  = mysql_fetch_array($query))
  {
	if(md5($user['login'].$user['haslo']) = $_SESSION['login'])
	{
	  return true;
	}
	else
	{
	  return false;
	}
  }
}
?>
[PHP] pobierz, plaintext 

przejdzie to?

Przed:

[PHP] pobierz, plaintext 
<?php
$spr = mysql_query("SELECT * FROM `USER` WHERE `login` = 'login' AND `haslo` = '$pass'" LIMIT 0,1);
?>
[PHP] pobierz, plaintext 

Zapodałbym:

$login = str_replace("'", '', $login);
$pass = str_replace("'", '', $pass);

Nie ma co się bawić addslashes'ami i innymi badziewiami, lepiej po prostu wyciąć ten apostrof w cholerę - tak jest najbezpieczniej.
I najlepiej robić to wszędzie tam, gdzie zmienna bierze udział w zapytaniu MySQL - chyba, że te apostrofy są potrzebne, wtedy lepiej
zastąpić je funkcją htmlentities() i dopiero zapisywać do bazy.

Pozdrawiam.