[HTML][MySQL][PHP] Zabezpieczenie PA czy wystarczy? Opcje

[lukaszk]

Witam, proszę o informację czy taki system logowania

[PHP] pobierz, plaintext 
<?php
        session_start();
        session_destroy();
 
        $message=""; //wiadomość
 
        $login=$_POST['login'];
        if($login){
                $uzytkownik=trim($_POST['uzytkownik']);
                $md5_haslo= trim(sha1(md5($_POST['haslo'])));
 
 
                //połączenie z bazą danych
				include "page/db.php";
 
                $rezultat = mysql_query("SELECT * FROM admin WHERE login_admin='$uzytkownik' AND haslo_admin='$md5_haslo'");
                $rekord = mysql_fetch_array($rezultat);
                $imie = $rekord[name];
                $nazwisko = $rekord[usernazwisko];
               // $firma = $rekord[firma];
 
                if(@mysql_num_rows($rezultat)){
                        session_register("uzytkownik");
                        session_register("name");
                        session_register("usernazwisko");
                        //session_register("firma");
 
                        header("location:index.php");
                        exit;
                }else{
                        $message="Nieprawidłowa nazwa użytkownika lub hasło";
                }
        }
?>
[PHP] pobierz, plaintext 

i taka zawartość w pliku głównym

[PHP] pobierz, plaintext 
<?php 
        session_start();
		setcookie ("uzytkownik", "", time() - 36);
        if(!session_is_registered("uzytkownik")){
                header('Location: logowanie.php');
        }
 
?>
 
 
 
[PHP] pobierz, plaintext 

Wystarczy do zabezpieczenia PA? jeśli macie inne ciekawsze i bezpieczniejsze propozycję proszę o pomoc
Pozdrawiam

nalazłem również ciekawy kod który zabezpiecza identyfikuje czy dane pochodzą z odpowiedniego formularza.
Ale nie wiem jak go wprowadzić

[PHP] pobierz, plaintext 
 
// umieszczamy zaraz po session_start();
 
if (!isset($_SESSION['token'])) 
{
   $_SESSION['token'] = sha1(uniqid(rand(), true));
}
 
// użycie: 
 
if (warunek1 && check()==true) 
{}
 
function check () 
{
   if ($_POST['token']!=$_SESSION['token'])
       die('hack');
   else
       return true;
}
[PHP] pobierz, plaintext 

[CuteOne]

Brak jakichkolwiek zabezpieczen - każdy może wstawić zamiast nazwy użytkownika kod sql [poczytaj o sql injection]

Nie używa się już session_register() tylko $_SESSION['uzytkownik'] = 'jakas_wartosc';

Co to (IMG:style_emoticons/default/questionmark.gif)

[PHP] pobierz, plaintext 
session_start();
session_destroy();
[PHP] pobierz, plaintext 

edit: jezeli nie wiesz jak coś działa to zacznij o tym czytać a nie czekasz aż ktoś ci to wytłumaczy/da przykład

Ten post edytował CuteOne 24.01.2011, 19:24:19