[php] System logowania - sesje, Prosze o opinie Opcje

[pablo2]

Witam serdecznie (o moj pierwszy post na forum),

Chcialbym prosic o opinie uzytkownikow na temat skryptu logowania, ktory niedawno napisalem (zalozenie bylo takie, ze calosc ma byc w jednym pliku)

Kod

<?php
  
       error_reporting(E_ALL);
      
       session_start();
  
       if (!isset($_SESSION['initiated'])) {       // Sprawdzam czy gosc ma juz rozpoczeta sesje
           session_regenerate_id();                // Generuje nowy SSESID - unikam prostych 'Session fixation'
           $_SESSION['initiated'] = 1;             // Teraz juz na pewno jest sesja        
           $_SESSION['logged_in'] = 0;             // Gosc nie jest zalogowany
       }
      
       if ($_SESSION['logged_in'] == 1) {          // (*) Gosc jest zalogowany pokaz mu zasoby docelowe
           echo ('42 - The answer to the Ultimate Question of Life, the Universe, and Everything');   // zasob docelowy
       }
       else {                                      // Gosc nie jest zalogowany
           if(isset($_POST['submit_check'])) {     // Gosc wyslal formularz
          
               $login = strip_tags($_POST['login']);
               $password = strip_tags($_POST['password']);
          
               if(check_login($login, $password)) {                         // Gosc podal poprawne dane
                   session_regenerate_id(TRUE);                            // Generuje nowy SSESID i usuwa stary (!) - unikam 'Session fixation'
                   $_SESSION['logged_in'] = 1;                             // Gosc jest zalogowany
                   header("Location: login.php");                          // Odswiezam strone zeby gosc mogl zobaczyc to co jest pod (*)
               }
               else {                                                      // Gosc podal dane niepoprawne
                   echo ('Error! ');
                   echo ('<a href="login.php">Zaloguj jeszcze raz</a>');
               }              
           }
           else {                                                          // Gosc nie wyslal formularza
               echo ('<form enctype="multipart/form-data" method="post" action="login.php">
                   <input type="hidden" name="submit_check" value="1"/>
                   <input name="login" />
                   <input name="password" />
                   <input type="submit" value="Log in" />
               </form>');
           }
       }
      
  
       function check_login($login, $password) {                           // Oczywiscie tutaj normalnie jest bardziej
           if($login == 'adam' && $password == 'brawo') {                  // zawily skrypt wyciagajacy dane z bazy
               return TRUE;
           }
           else {  
               return FALSE;
           }
       }
  
   ?>

Uprzejmie prosze o komentarze - najbardziej zalezy mi na krytycznych. Chodzi mi glownie o zabezpieczenie przed atakami typu Session Fixation i Session Hijacking.

Z gory dziekuje za uwagi i pozdraawiam serdecznie,
Adam

[Cysiaczek]

Od tego jest specjalne subforum Ocen - przenoszę

p.s
Witaj na forum : )

[cornholio666]

Jeżeli skrypt ma działać na bazie danych na wstępie bym zrobił tak:

zamieniłbym

[PHP] pobierz, plaintext 
<?php
$login = strip_tags($_POST['login']);
$password = strip_tags($_POST['password']);
?>
[PHP] pobierz, plaintext 

na

[PHP] pobierz, plaintext 
<?php
$login = mysql_escape_string($_POST['login']);
$password = md5($_POST['password']); // tu jeszcze można rozbudować o dodanie soli
?>
[PHP] pobierz, plaintext 

[Moli]

Ale musisz pamiętać że mysql_escape_string działa tylko jeśli jesteś połączony z bazą Zamiast isset, używaj empty. A i myślę ze samo logowanie poiwnno być w 1 pliku, ale sprawdzanie czy ktoś jest zalogowany powinno być możliwe w innych plikach też. Oczywiście wystarczy ze dasz session_start i if ( $_SESSION['cos'] == 1 )

[cornholio666]

Ale musisz pamiętać że mysql_escape_string działa tylko jeśli jesteś połączony z bazą Zamiast isset, używaj empty. A i myślę ze samo logowanie poiwnno być w 1 pliku, ale sprawdzanie czy ktoś jest zalogowany powinno być możliwe w innych plikach też. Oczywiście wystarczy ze dasz session_start i if ( $_SESSION['cos'] == 1 )

W komentarzu jest napisane że dane będą wyciągane z bazy. Dlaczego ma używać empty zamiast isset ?

[Moli]

isset sprawdza czy zmienna istnieje, empty czy jest pusta. Wiec jeśli dasz

Kod

$zmienne = '';

isset przejdzie, a empty nie.