Logowanie, pomoc przy logowaniu Opcje

[seba199696]

[PHP] pobierz, plaintext 
<?php
session_start();
include 'dbc.php'; //polaczenie z baza danych
	$user_login = htmlspecialchars(stripslashes(strip_tags(trim($_POST['username']))));
 
 
$pass = md5(htmlspecialchars(stripslashes(strip_tags(trim($_POST['password'])))));
$user_password = sha1($pass.$user_login);
 
 
     $user_log = "user_login='$user_login'";
	 $user_pass = "user_password='$user_password'";
 
 $result = mysql_query("SELECT `id`,`user_login`,`user_password`,`banned` FROM users WHERE 
           $user_log AND $user_pass AND `banned` = '0'
			") or die (mysql_error()); 
 
 
	 if (mysql_num_rows($result) == 1) {
 
	   session_regenerate_id (true);
		$_SESSION['user_name'] = $user_login;
		header('Location: index2.php');
 
	 } else {
		echo "Logowanie się nie powiodło :("; 
 
	 }
?>
[PHP] pobierz, plaintext 

Witam, napisałem skrypt logujący użytkownika wszystko działa prawidłowo lecz chcę się dowiedzieć w jaki sposób zabezpieczyć taki skrypt przed atakami. Robię coś źle? Jakieś propozycję?

Dzięki

[bastard13]

[PHP] pobierz, plaintext 
$pass = md5(htmlspecialchars(stripslashes(strip_tags(trim($_POST['password'])))));
[PHP] pobierz, plaintext 

To, co robisz w tym kodzie jest całkowicie zbędne. Wystarczy, że użyjesz funkcji haszującej, jest to wystarczające zabezpieczenie.

[PHP] pobierz, plaintext 
$user_password = sha1($pass.$user_login);
[PHP] pobierz, plaintext 

A takie zabawy są już ciekawsze:) Tylko zamiast $user_login używa się zazwyczaj soli, czyli jakiegoś indywidualnego ciągu znaków, który również zapisujesz do bazy. Możesz użyć np. funkcji http://pl2.php.net/manual/en/function.microtime.php do jego generowania.

[PHP] pobierz, plaintext 
$user_login = htmlspecialchars(stripslashes(strip_tags(trim($_POST['username']))));
[PHP] pobierz, plaintext 

Wystarczy, że użyjesz metody:
http://pl2.php.net/manual/en/function.mysq...cape-string.php
Jednak osobiście uważam, że co do loginu, to walidacja powinna wyglądać trochę inaczej. Chodzi o to, że zazwyczaj login ma pewien określony zbiór znaków, z których może się składać np. litery, cyfry, _, -, spacja itp. W każdym razie zbiór dozwolonych znaków jest określony dlatego też lepiej walidować login użytkownika, a nie (tak jak ty) filtrować.
Do walidacji przydaje się funkcja:
http://pl2.php.net/manual/en/function.preg-match.php