[PHP]Logowanie na sesjach i mysql :P, Czyli mój pierwszy własny skrypt Opcje

[marian2299]

Napisałem własne skrypty, działają i wgl, ale muszą zostać zabezpieczone. W związku z tym piszcie, czy napisałem w miarę ok, czy są rażące widoczne błędy, itp.
Plik logowanie.php

[PHP] pobierz, plaintext 
<?php 
sesion_start(); //rozpoczęcie sesji
 
$login = mysql_real_escape_string($_POST['login']);  //określenie zmiennej login, dodanie backshalsy
$haslo = mysql_real_escape_string(md5($_POST['haslo'])); //określenie zmiennej haslo, dodanie backshalsy,kodowanie md5
 
if ($login != "" && $haslo != ""){ //sprawdzanie czy zmienne nie są puste
 
$zapytanie = "SELECT * FROM `uzytkownicy` WHERE login="'. $login.'" and haslo="'.$haslo.'" "; //zapytanie
$uzytkownik = mysql_fetch_array(mysql_query($zapytanie) or die("Wystąpił nieoczekiwany błąd.")); //tworzymy tablicę
 
$_SESSION['login'] = $uzytkownik['login']; //określamy zmienną sesyjną login
$_SESSION['haslo'] = $uzytkownik['haslo']; //określamy zmienną sesyjną haslo
$_SESSION['id'] = $uzytkownik['id']; //określamy zmienną sesyjną id
echo "Zostałeś zalogowany jako: ".$_SESSION['login'].""; //jeśli wszystko ok, wyświetlamy login
}
else {
echo  'Podałeś błędne dane, spróbuj ponownie.';  //jeśli nie baj baj
}
 
?>
[PHP] pobierz, plaintext 

Czy wszystko robię ok ? Czy jest to odporne na SQJ injection ? Macie może jakieś sugestie ?
Czy w pliku tylko dla zalogowanych w zupełności wystarczy:

[PHP] pobierz, plaintext 
<?php
session_start();
  if (!isset($_SESSION['login']) || !isset($_SESSION['haslo'])) {
  header("location:index.php"); // Przekierowanie do index.php
}
?>
[PHP] pobierz, plaintext 

Ten post edytował marian2299 17.08.2009, 00:34:12

[Suh]

Lepiej zrobić o jedno zabezpieczenie więcej, niż mniej.. Na pewno to nie zaszkodzi, a może co najwyżej poprawić sytuację.
Poza tym mysql_real_escape_string() może Ci co najwyżej sprawdzić czy nie ma w podanym ciągu takich znaków jak np. ' " czy coś podobnego. A wyrażenia regularne mogą ponadto np. sprawdzać czy w loginie nie ma cyfr lub podkreśleń czy innych takich znaków, których sobie po prostu nie życzysz.