[skrypt] bezpieczne logowanie Opcje

[kiamil]

Link do dema: DEMO
Link do kodu: CODE

Zapraszam do oceniania, autoryzacja oparta na jednej zmiennej sesyjnej, IMHO unikalny skrypt. Potrzebwałbym też porady dotyczące bezpieczeństwa.

[erix]

Odstępów nigdy nie robiłem

Pora zacząć. (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)

Kod

global $_SESSION; global $cfg;

Blah, na chorobę globalizować $_SESSION? Skoro piszesz jakieś skrypty zdobądź chociaż podstawy... (IMG:http://forum.php.pl/style_emoticons/default/dry.gif)

Kod

return sha1(time().$nick);

IMHO trochę za słaby ten token... Masz funkcje generowania liczb pseudolosowych, /dev/urandom, uniqid" title="Zobacz w manualu PHP" target="_manual...
Poza tym, nie wiem, po co podajesz użytkownikowi token...

Kod

<? session_start(); session_regenerate_id(); ?>

A na szto tak?

Kod

md5('adm'.$cfg['salt'])

MD5 za bezpieczne nie jest.

Ogólnie: kod nieczytelny, nic rewelacyjnego.

[.radex]

Pora zacząć. (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)

No właśnie (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)

Porównaj sobie to:

[PHP] pobierz, plaintext 
<?
include('mysql.php');
 
$cfg['mysql']['alias']='log_';
$cfg['salt'] = '_babia_stefa_lubi_ogorki_xD';
 
function new_otoken($nick) {
global $_SESSION; global $cfg;
$ot = otoken($nick);
mysql_query('UPDATE '.$cfg['mysql']['alias'].'users SET u_otoken="'.$ot.'" WHERE u_nick="'.$nick.'"');
$_SESSION['otoken']=$ot;
}
function otoken($nick) {
return sha1(time().$nick);
}
?>
[PHP] pobierz, plaintext 

z tym:

[PHP] pobierz, plaintext 
<?php
   include 'mysql.php';
   
   $cfg['mysql']['alias'] = 'log_';
   $cfg['salt'] = '_babia_stefa_lubi_ogorki_xD';
   
   function new_otoken($nick)
   {
      global $_SESSION;
      global $cfg;
      
      $ot = otoken($nick);
      
      mysql_query('UPDATE ' . $cfg['mysql']['alias'] . 'users SET u_otoken="' . $ot . '" WHERE u_nick="' . $nick . '"');
      
      $_SESSION['otoken'] = $ot;
   }
   
   function otoken($nick)
   {
      return sha1(time() . $nick);
   }
   ?>
[PHP] pobierz, plaintext 

Nie wiem jak Ty, ale mi się wydaje, że moja wersja jest dużo bardziej czytelna. Ot, bardzo dobry nawyk.

Natomiast mam dwie bardzo ważne uwagi:
1. Zaprzestań stosować globali (po konkrety do wyszukiwarki (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif) )
2. Rozpocznij stosować mysql_real_escape_string

globale są złe, a "escapować" ciągi znaków należy przed wysłaniem do bazy danych (dla zabezpieczenia przed sql injection), czyli jeszcze raz:

[PHP] pobierz, plaintext 
<?php
   include 'mysql.php';
   
   $cfg['mysql']['alias'] = 'log_';
   $cfg['salt'] = '_babia_stefa_lubi_ogorki_xD';
   
   function new_otoken($nick)
   {
      global $cfg; // to należy wywalić...
      
      $nick = mysql_real_escape_string($nick);
      
      $ot = otoken($nick);
      
      mysql_query('UPDATE ' . $cfg['mysql']['alias'] . 'users SET u_otoken="' . $ot . '" WHERE u_nick="' . $nick . '"');
      
      $_SESSION['otoken'] = $ot;
   }
   
   function otoken($nick)
   {
      return sha1(time() . $nick);
   }
   ?>
[PHP] pobierz, plaintext 

PS. Stosuj komentarze w swoim kodzie, bo jak będziesz musiał edytować kod, którego nie ruszałeś od kilku miesięcy to nie będziesz wiedział "o co tu chodzi?" (IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)