czy takie sposób jest dobry? Opcje

[john_doe]

Witajcie,
napisałem dziś logowanie. Napiszcie czy jest ok? Ogólnie działa ale, że działa to nie wszystko. Co byście zmienili? Co robię źle i bez sensu? czy idea jest oki? Czy idzie ten kod jakoś obejść i wejść mimo logowania na stronę?

poniżej kod z komentarzem

[PHP] pobierz, plaintext 
<?php
session_start();
        
    include ('db/conection.php');  // łącze się z db za pomocą PDO
    
    include('querries/confQuerries.php');  // tutaj plik z zapytaniami SQL
    
    
    $howMany = $dbh -> query($COUNT_LOGIN_USERS);     // tutaj zapytanie count(*) where $_POST['login']
        
    foreach( $howMany as $k ) 
    {
    
        $count = $k[0];
    
    }
    
    
    if ( $count == 1 )  // jeśli zapytanie zwróciło jeden wiersz
    {
                foreach ( $dbh -> query( $SELECT_USER ) as $row ) // wybieram wszystkie dane usera where $_POST['login']
                {
                    if ( $_POST['login'] == $row[1] && $_POST['pass'] == $row[2] )  // jeśli wpisany login odpowiada loginowi w bazie i wpisane haslo odpowiada temu z bazy przypisuje wynik zapytania do sesji
                    {
                        $_SESSION['id']       = $row[0];
                        $_SESSION['login']    = $row[1];
                        $_SESSION['pass']     = $row[2];
                        $_SESSION['name']     = $row[3];
                        $_SESSION['surname']  = $row[4];
                        $_SESSION['nickname'] = $row[5];
                        $_SESSION['level']    = $row[6];
                        $_SESSION['xlid']     = $row[7];
                        $_SESSION['region']   = $row[8];
                        $_SESSION['logIn']    = 1;
                        
                        $output = getdate();
                        
                        $loginAim = $output[year] . '-' . $output[mon] . '-' . $output[mday] . ', ' . $output[hours] . ':' . $output[minutes] . ':' . $output[seconds];
                        
                        include('querries/confQuerries.php');
                        
                        if ( $_SESSION['xlid'] != 5555555 ) // nie loguje ADMINA
                        {
                            $dbh -> query( $INSERT_LOGGED_USER ); // log kto i kiedy sie zalogował
                                
                            foreach( $dbh -> query( $SELECT_LAST_INSERT_ID_PER_USER ) as $row )
                            {
                                $_SESSION['sessionIdLogger'] = $row[0];
                            }
        
                        }    
                            
                        header( 'Location: http://' . $_SERVER['HTTP_HOST'] . rtrim(dirname($_SERVER['PHP_SELF']), '/') . '/' . mainView.'.'.php ); // jesli wszystko ok to kieruje na stronę jakąś tam dostępną po zalogowaniu poprawnym
                        exit;
                    }else 
                        {
                            header( 'Location: http://' . $_SERVER['HTTP_HOST'] . rtrim(dirname($_SERVER['PHP_SELF']), '/') . '/' . index.'.'.php ); // jeśli coś nie tak to kieruje na stronę logowania
                            exit;
                        }
                    
                }
    
    }else header( 'Location: http://' . $_SERVER['HTTP_HOST'] . rtrim(dirname($_SERVER['PHP_SELF']), '/') . '/' . index.'..php );
    
    
?>
[PHP] pobierz, plaintext 

[john_doe]

wpisałem w pole login ' OR '1'='1 a w pole haslo -- by zakometować resztę zapytania

i dostałem komunikat


Warning: Invalid argument supplied for foreach() in C:\wamp\www\..........................php on line 11

Warning: Cannot modify header information - headers already sent by (output started at C:\wamp\www\...........................................php:11) in C:\wamp\www\.........................php on line 63

czy wystarczy gdy w zapytaniu SQL dodam przed $_POST htmlspecialchars lub mysql_real_escape_string (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif)
w 1szej kolejności chcę ustrzec się przed SQL Injection.

dzięki za odpowiedzi. Otwieracie mi oczy <gitara>

i jeszcze jedno jak w takim razie zapakować wynik zapytania do sesji skoro robię to jak chłopu na wsi?

Ten post edytował john_doe 26.05.2009, 22:50:38