$_SESSION i Uwierzytelnianie - pytanie Opcje

[MGreg]

Witam.
Męczę się nad bezpiecznym systemem uwierzytelniania i proszę ocenić, czy takie coś będzie bezpieczne:

[PHP] pobierz, plaintext 
<?php
session_start();
 
if(isset($_POST['login']) and isset($_POST['haslo']) and $_GET['action']=='zaloguj')
	{
	$query = mysql_query("select * from `users` where `login`='".mysql_real_escape_string($_POST['login'])."' and `haslo`='".mysql_real_escape_string(md5($_POST['haslo'])).'"');
	if(mysql_num_rows($query)>0)
	   {
	   $_SESSION['logged'] = 1;
	   $_SESSION['username'] = $_POST['login'];
	   }
	else
		{
		$_SESSION['logged']=0;
		{
	}
 
   if($_SESSION['logged']==1)
	  {
	   /* JAKIŚ TAM PANEL ADMINISTRACYJNY */
	  }
 
?>
[PHP] pobierz, plaintext 

Głównie chodzi mi o to, czy ktoś może zmienić wartość tablicy sesji $_SESSION['logged'] na 1 i tym samym zdobyć uprawnienia admina.

Ten post edytował MGreg 4.06.2008, 17:35:26

[Shili]

Dalej nie ma tam żadnej wzmianki o tym, że autor chce wyświetlać tekst pochodzący z formularza. Już nawet napisałam, że może tam spokojnie umieścić swoje wszystkie hasła, ale póki tego nie zrobi nie ma po co męczyć go stwierdzeniami: pamiętaj, nie wypisuj swoich haseł na stronie (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)

Jedna uwaga - jeśli action jest logout, to mimo wszystko wykona się dalszy kawałek kodu. Co prawda pewnie nic się nie stanie, ale po co maszyna ma mielić coś, czego użytkownik nie ma na myśli.
Spokojnie użyj tam else.