[skrypt]Prosty skrypt logowania Opcje

[m3tt]

Skrypcik pisany na szybko, powiedzcie co poprawić ew co dodać, żeby kod był bezpieczny.

[PHP] pobierz, plaintext 
<?php
session_start(); 
 
require_once('.config/db_connect.php');
 
//Łączę się z bazą 
Polacz("baza_danych");
 
 
$login =  mysql_escape_string($_POST['login']); 
$haslo = md5($_POST['haslo']);
 
//Przechowywujemy login w sesji
$_SESSION['login'] = $login;
 
 
if(!isset($_SESSION['zalogowany']))
{
	session_regenerate_id(TRUE);   
	$_SESSION['zalogowany'] = 0;
 
}
//Jeżeli zalogowany 
if ($_SESSION["zalogowany"] = $_SESSION['id'])
{
header('Location: ./admin_panel.php');
echo " Zalogowany jako: ".$_SESSION['login']. '<a href="?wyloguj">Wyloguj</a>';
 
if(isset($_GET['wyloguj']))
{
header('Location: ./index.php');
$_SESSION["zalogowany"] = 0; 
session_destroy();
}
 
}else{
//Jezeli niezalogowany
 
 
 
echo '<div class="logowanie">';
echo '<center><font color="red">'.$komunikat.'</font></center>';
echo '<form method="post">
				<div class="logowanie_text">Login:&nbsp; <input type="text" class="logowanie_style" name="login"/></div>
 
                              <div class="logowanie_text">Hasło&nbsp;<input type="password" class="logowanie_style" name="haslo"/></div>
				<br/> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;
 
				<input type="submit" class="logowanie_style" value="Zaloguj się :)"/></form>';
 
echo '</div>';
 
 
	//Sprawdź czy wysłano dane
	if($_SERVER['REQUEST_METHOD'] == 'POST')
	{
	//Zapytanie do bazy
	$sql = mysql_query("SELECT * FROM Users WHERE login='$login' and password='$haslo'");
	$sql2 = mysql_query("SELECT * FROM Users WHERE login='$login'");	
	while($row = mysql_fetch_assoc($sql2))
	{
		$_SESSION['ranga'] = $row['ranga']; 
		$_SESSION['id'] = $row['id'];
		$_SESSION['last_login'] = $row['last_login'];
	}
	if(mysql_num_rows($sql))
	{				
		$_SESSION['zalogowany'] = mysql_num_rows($sql);
		header('Location: ./admin_panel.php');
	}else{
		echo '<script>alert("Złe dane")</script>';
	}		
 
} 
}
ob_end_flush();
?> 
[PHP] pobierz, plaintext 

Ten post edytował m3tt 6.01.2011, 17:20:08

[Fifi209]

Jeżeli nie chcesz używać np. PDO tylko funkcji mysql_ to czytaj ich dokumentację.
mysql_escape_string ja wyczytałem coś takiego:

This function has been DEPRECATED as of PHP 5.3.0. Relying on this feature is highly discouraged.

Zamiast tego użyj: mysql_real_escape_string

Co do loginu i traktowania go poprzez w/w funkcję, polecałbym bardziej przefiltrować np.
filter_var ew. zainteresować się wyrażeniami regularnymi PCRE, preg_match

To:

[PHP] pobierz, plaintext 
if ($_SESSION["zalogowany"] = $_SESSION['id'])
[PHP] pobierz, plaintext 

Zapomniałeś chyba o drugim znaku równości.

Chciałbym również dowiedzieć się jak to ma działać:

[PHP] pobierz, plaintext 
header('Location: ./admin_panel.php');
echo " Zalogowany jako: ".$_SESSION['login']. '<a href="?wyloguj">Wyloguj</a>';
[PHP] pobierz, plaintext 

Przecież wynik "echo" nikt nie zobaczy.

Oczywiście z tymi przekierowaniami to jeden przykład a wiele błędów takich masz.

Poza tym, po co lecą dwa zapytania do bazy? Wystarczy jedno.