[PHP]Jak zabezpieczyć? Opcje

[GoldeNx3]

Witam. napisałem sobie prosty skrypt sklepu. Gdy ktoś coś kupic i kliknie przycisk "Kup" to odpala siędrugi skrypt, który wszystkie wpisane dane wysyła mi na e-mail. Po tym pokazuje się informacja, że wiadomość została wysłana poprawnie. Jak zrobić jakieś zabezpieczenie typu token lub czasowe, by ktoś kto kliknie odśwież na napisie z powodzeniem nie wysłało kolejnego e-maila?

[mat-bi]

A znasz coś takiego jak sesja?

[gargamel]

W pliku w którym masz formularz tworzysz losową zmienną.
Np:

[PHP] pobierz, plaintext 
$v = microtime(true);
[PHP] pobierz, plaintext 

Dodajesz tą zmienną do sesji:

[PHP] pobierz, plaintext 
session_start();
session_register('v');
$_SESSION['v'] = $v;
[PHP] pobierz, plaintext 

Wrzucasz do formularza:

[HTML] pobierz, plaintext 
<input type='hidden' name='v' value='<?php $v ?>' />
[HTML] pobierz, plaintext 

A w pliku wysyłki:

[PHP] pobierz, plaintext 
if($_POST['v'] == $_SESSION['v']){
//Wysyłanie maila....
$_SESSION['v'] = '';
}
[PHP] pobierz, plaintext 

Ten post edytował gargamel 31.03.2011, 19:15:01

[GoldeNx3]

Moglibyście mi podrzucić więcej informacji nt. tej sesji?

@Edit:

@Up

Chyba coś źle robię, bo nie działa mi to. : / Wysyła po odświeżeniu dalej.

Ten post edytował GoldeNx3 31.03.2011, 19:22:55

[bastard13]

Po pierwsze, to nie używaj session_register(), ponieważ jest tutaj zbędna, a dodatkowo w przyszłych wersjach php ma zostać wycofana.
Oczywiście pomysł z sesją jest dobry.
Plik odbierający posta:

[PHP] pobierz, plaintext 
<?php
session_start();
 
$toFast = 5; //ilość sekund, po których można wysłać kolejnego maila
 
if(isset($_SESSION['last_email']) && (time() - $_SESSION['last_email'] <= $toFast))
    exit(); //kończenie skryptu jeżeli posta przesłano zbyt szybko (oczywiście może tutaj być dowolny blok instrukcji)
 
$_SESSION['last_email'] = time(); //aktualny czas
 
//wysyłanie maila
?>
[PHP] pobierz, plaintext 

[GoldeNx3]

Ok, to mi działa. ; DD

A jak zrobić np. Token?

[gargamel]

No właśnie tak.
Co do session_register - mój błąd, nie potrzeba tej linijki.
Pokaż kod którego używasz to będzie łatwiej

[GoldeNx3]

Formularz:

[PHP] pobierz, plaintext 
http://wklejto.pl/94249
[PHP] pobierz, plaintext 

Akcja, gdy ktoś wciśnie wyślij:

[PHP] pobierz, plaintext 
http://wklejto.pl/94248
[PHP] pobierz, plaintext 

Proszę nie patrzeć, na estetykę, bo to mój pierwszy tak rozbudowany (jak dla mnie ) skrypt. Wszystko działa i się cieszę, ale ten token?

Ten post edytował GoldeNx3 31.03.2011, 20:41:08

[gargamel]

W pliku http://wklejto.pl/94249 (nie wiem jak on się nazywa)
Na samym początku dajesz

[PHP] pobierz, plaintext 
session_start();
$v = microtime(true);
$_SESSION['v'] = $v;
[PHP] pobierz, plaintext 

Później gdzieś w formularzu (np niech to będzie 119 linia) wrzucasz

[PHP] pobierz, plaintext 
<input type='hidden' name='v' value='<?php echo $v ?>' />
[PHP] pobierz, plaintext 

(W pierwszym poście zapomniałem echa)

Natomiast w pliku v_send.php musisz dodać warunek na wysłanie maila, na przykład:

[PHP] pobierz, plaintext 
session_start();
if($_POST['v'] == $_SESSION['v']){
//Wysyłanie maila.... - może być cała zawartość Twojego obecnego skryptu, oczywiście oprócz session_start();
$_SESSION['v'] = false; // Tu usuwasz token - a więc przesyłany ponownie z formularza, nie będzie już się zgadzał z tym w sesji
}
else{
//Tu jakieś instrukcje które mają się pojawić po odświeżaniu, np: echo "Psze nie odświeżać tej strony!!!"; 
}
[PHP] pobierz, plaintext 

Ten post edytował gargamel 31.03.2011, 21:35:18

[GoldeNx3]

Token to bardziej na myśli miałem obrazek z kodem do przepisania. ;d

Btw. Jak do tego kodu mogę wprowadzić np. sprawdzenie, czy w e-mailu znajduje się @?

[wujekkk]

Token to bardziej na myśli miałem obrazek z kodem do przepisania. ;d

Btw. Jak do tego kodu mogę wprowadzić np. sprawdzenie, czy w e-mailu znajduje się @?

Co do obrazka z kodem wpisz w google wyrażenie captcha. Na pewno znajdziesz




Sprawdzenie email:

ja korzystam z: filter_var($email, FILTER_VALIDATE_EMAIL);

Pozdrawiam