Pomoc - Szukaj - Użytkownicy - Kalendarz
Pełna wersja: Prośba o ocenę
Forum PHP.pl > Inne > Oceny
Jarod
11.05.2006, 20:11:28
Poniżej zamieściłem skrypt, który stosuję do logowania na podstawie bazy. Co o nim myślicie? Czy Waszym zdaniem warto coś poprawić, usprawnić w jakiś sposób? Może nie jest zbyt bezpieczny?

[PHP] pobierz, plaintext 
  1. <?php
  2.   session_name('sofik');
  3.   session_start();
  4.   include "config.inc.php";
  5. ?>
  6.  
  7.  
  8. <!-- ZALOGUJ I USTAW ZMIENNE SESYJNE -->
  9. <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
  10. <html>
  11. <head>
  12. 	  <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-2">
  13. 	  <meta name="pragma" content="no-cache" />
  14. 	  <title>Logowanie...</title>
  15. 	  <link rel="stylesheet" type="text/css" href="autoryzacja.css" />
  16. </head>
  17. <body>
  18. <?php
  19.  
  20.   //Połączenie z bazą danych
  21.   $conn = mysql_connect($server, $identyfikator, $haslo)
  22. 		or die ("Nie udało się połączyć z bazą danych! BŁˇD: ".mysql_error());
  23.   //Wybór bazy danych
  24.   mysql_selectdb($baza)
  25. 		or die ("Nie udało się wybrać bazy! BŁˇD: ".mysql_error());
  26.  
  27.   //Zapytanie o login i hasło
  28.   $query = "SELECT * FROM konto WHERE login='".$_POST['logid']."';";
  29.   $result = mysql_query($query)
  30. 		or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  31.   $query_data = mysql_fetch_row($result);
  32.  
  33.  
  34.   //Sprawdzenie czy podany login i hasło są poprawne
  35.   if (MD5($_POST['pas']) == $query_data[2])
  36.   {
  37.  
  38. 	 //Udana autoryzacja
  39. 	 if ( ($query_data[3] == 0) OR (($query_data[3] == 3)) )
  40. 	 {
  41. 		//Zapytanie o dane osoby zalogowanej z tabeli pracownika
  42. 		$query = "SELECT konto.konto_id, login, haslo, kto, imie, nazwisko FROM konto, pracow
    nik "    .
  43. 			   "WHERE login='".$_POST['logid']."' AND konto.konto_id=pracownik.konto_id;";
  44. 		$result = mysql_query($query)
  45. 				or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  46. 		$query_data = mysql_fetch_row($result);
  47. 		$ID = $query_data[0];
  48.  
  49. 			$_SESSION['id'] = $query_data[0]; //Konto_id
  50. 			$_SESSION['nick'] = $query_data[1]; //Login
  51. 			$_SESSION['haslo'] = $query_data[2]; //Hasło
  52. 			$_SESSION['kto'] = $query_data[3]; //Pracownik czy klient?
  53. 			$_SESSION['imie'] = $query_data[4]; //Imie
  54. 			$_SESSION['nazwisko'] = $query_data[5]; //Nazwisko
  55.  
  56. 		//------------------->ROZPOCZCIE TRANSAKCJI
  57. 		$query = "BEGIN WORK";
  58. 		$result = mysql_query($query)
  59. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  60.  
  61. 		//Dodanie daty i godziny logowania
  62. 		$query = "INSERT INTO logi (konto_id, data_log, godzina_log) VALUES ($ID,CURDATE(),CURTIME());";
  63. 		$result = mysql_query($query)
  64. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  65. 		//-------------------> ZATWIERDZENIE TRANSAKCJI
  66. 		$query = "COMMIT";
  67. 		$result = mysql_query($query)
  68. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  69.  
  70. 		//Sprawdzenie wartości klucza logi_id
  71. 		$query = "SELECT LAST_INSERT_ID()";
  72. 		$result = mysql_query($query)
  73. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  74. 		$query_data = mysql_fetch_row($result);
  75.  
  76. 			$_SESSION['id_logi'] = $query_data[0]; //Logi_id
  77.  
  78. 		//Zamknięcie połączenia z bazą danych
  79. 		mysql_close($conn);
  80.  
  81. 		header("location: start.php?".SID);
  82. 	 }
  83. 	 else
  84. 	 {
  85. 		//Zapytanie o dane osoby zalogowanej z tabeli klienta
  86. 		$query = "SELECT konto.konto_id, login, haslo, kto, imie, nazwisko FROM konto, klient
     "    .
  87. 			   "WHERE login='".$_POST['logid']."' AND konto.konto_id=klient.konto_id;";
  88. 		$result = mysql_query($query)
  89. 				or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  90. 		$query_data = mysql_fetch_row($result);
  91. 		$ID = $query_data[0];
  92.  
  93. 			$_SESSION['id'] = $query_data[0]; //Konto_id
  94. 			$_SESSION['nick'] = $query_data[1]; //Login
  95. 			$_SESSION['haslo'] = $query_data[2]; //Hasło
  96. 			$_SESSION['kto'] = $query_data[3]; //Pracownik czy klient?
  97. 			$_SESSION['imie'] = $query_data[4]; //Imie
  98. 			$_SESSION['nazwisko'] = $query_data[5]; //Nazwisko
  99.  
  100. 		//------------------->ROZPOCZCIE TRANSAKCJI
  101. 		$query = "BEGIN WORK";
  102. 		$result = mysql_query($query)
  103. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  104.  
  105. 		//Dodanie daty i godziny logowania
  106. 		$query = "INSERT INTO logi (konto_id, data_log, godzina_log) VALUES ($ID,CURDATE(),CURTIME());";
  107. 		$result = mysql_query($query)
  108. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  109. 		//-------------------> ZATWIERDZENIE TRANSAKCJI
  110. 		$query = "COMMIT";
  111. 		$result = mysql_query($query)
  112. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  113.  
  114. 		//Sprawdzenie wartości klucza logi_id
  115. 		$query = "SELECT LAST_INSERT_ID()";
  116. 		$result = mysql_query($query)
  117. 			  or die ("Zapytanie nieudane! BŁˇD: ".mysql_error());
  118. 		$query_data = mysql_fetch_row($result);
  119.  
  120. 			$_SESSION['id_logi'] = $query_data[0]; //Logi_id
  121.  
  122. 		//Zamknięcie połączenia z bazą danych
  123. 		mysql_close($conn);
  124.  
  125. 		header("location: start.php?".SID);
  126. 	 }
  127.   }
  128.   else
  129.   {
  130.    // Zły login lub hasło
  131.    ?>
  132.    <br><br><br><br><br><br><br><br><br>
  133.    <table width="80%" align="center" border="0" cellpadding="14">
  134. 		  <tr>
  135. 			  <td><h2 class="error">Podałeś zły login lub hasło!</h2></td>
  136. 		  </tr>
  137.    </table>
  138.    <?php
  139.    echo "<META HTTP-EQUIV='Refresh' CONTENT='3; URL=main.php'>";
  140.   }
  141. ?>
  142.  
  143. </body>
  144. </html>
[PHP] pobierz, plaintext
devnul
11.05.2006, 20:27:46
skrypt wygląda dobrze - rzczej nie jest niebezpieczny winksmiley.jpg
tylko jedno ale: czemu drukujesz z poziomu php kod html? ani to czytelne ani potrzebne, tylko dodatkowe obciązanie parsera

ale chyba nie to forum co? snitch.gif
mike
11.05.2006, 20:31:08
Przenoszę z php na Oceny

Swoją drogą walisz "Proszę o ocenę..." a na Ocenach nie dajesz, coś z Tobą nie tak?

P.S.
Dlaczego wszędzie dajesz die()?
To najgorsze wyjście, poczytaj o wyjątkach i inaczej rozwiąż kwestie problematyczne.
Jarod
11.05.2006, 20:40:37
Cytat(mike_mech @ 2006-05-11 19:31:08)
Przenoszę z php na Oceny

Swoją drogą walisz "Proszę o ocenę..." a na Ocenach nie dajesz, coś z Tobą nie tak?

P.S.
Dlaczego wszędzie dajesz die()?
To najgorsze wyjście, poczytaj o wyjątkach i inaczej rozwiąż kwestie problematyczne.

mike_mech: bo skrypt ten pisałem dawno pod php4 wiem że można go przepisać pod php5 z obsługą wyjątków
ps. jestem zmęczony - przepraszam za zły dział


@devnul: poprawie
nospor
11.05.2006, 21:09:57
...WHERE login='".$_POST['logid']."'.....
a teraz patrzymy w ten topic:
http://forum.php.pl/index.php?showtopic=23258&st=0
i juz wiemy o czym mowie winksmiley.jpg
Jarod
11.05.2006, 21:25:36
Cytat(nospor @ 2006-05-11 20:09:57)
...WHERE login='".$_POST['logid']."'.....
a teraz patrzymy w ten topic:
http://forum.php.pl/index.php?showtopic=23258&st=0
i juz wiemy o czym mowie winksmiley.jpg

Przeczytałem ale nie wiem gdzie błąd i jak go naprawić..?
devnul
11.05.2006, 21:32:45
widocznie nie przeczytałeś uważnie biggrin.gif

cytat z wypowiedzi Vengeance`a (pierwsza odpowiedz w tym temacie)
Cytat
punkt 2. ja stosuje po prostu addslashes() i filtruje dane z POST GET COOKIE itd. tzn jak ma byc liczba do liczba a nie string

i wszystko staje się jasne.

wszystkie dane które przekazujesz do bazy danych potraktuj funkcją addslashes(), czyli np. 
[PHP] pobierz, plaintext 
  1. <?php
  2. addslashes($_POST["login"]);
  3. ?>
[PHP] pobierz, plaintext
TomASS
11.05.2006, 23:38:11
Cytat
skrypt wygląda dobrze - rzczej nie jest niebezpieczny

Cytat
widocznie nie przeczytałeś uważnie

Ty też tongue.gif


Ja bym raczej proponował funkcje specjalnie do tego stworzoną - mysql_escape_string().

1.
Możesz zamiast:
[PHP] pobierz, plaintext 
  1. <?php
  2. $query = "SELECT konto.konto_id, login, haslo, kto, imie, nazwisko 
  3. FROM konto, pracownik ".
  4.                "WHERE login='".$_POST['logid']."' AND konto.konto_id=pracownik.konto_id;";
  5. ?>
[PHP] pobierz, plaintext

Pisać wygodniej:
[PHP] pobierz, plaintext 
  1. <?php
  2. $query = "SELECT K.konto_id, login, haslo, kto, imie, nazwisko FROM konto AS K , prac
    ownik AS P WHERE login='"    .$_POST['logid']."' 
  3. AND K.konto_id=P.konto_id;";
  4. ?>
[PHP] pobierz, plaintext


2.
Nie łatwiej byłoby trzymać datę i czas w jednej komórce w bazie danych? :
[PHP] pobierz, plaintext 
  1. <?php
  2.    $query = "INSERT INTO logi (konto_id, data_log, godzina_log) VALUES ($ID,CURDATE(),CURTIME());";
  3. ?>
[PHP] pobierz, plaintext


3.
Jeśli już używasz styli, to bądź konsekwentny:
[HTML] pobierz, plaintext 
  1. <table width="80%" align="center" border="0" cellpadding="14">
[HTML] pobierz, plaintext


Ale to tak szukanie dziury w całym - popraw to o czym napisał kolega nospor oraz mike_mech i powinno być dobrze party.gif
Jarod
14.05.2006, 20:46:39
W celu wyeliminowania możliwości załadowania konkretnej podstrony przez użytkownika, na każdej podstronie mam taki kod:

[PHP] pobierz, plaintext 
  1. <?php
  2.   session_name('sofik');
  3.   session_start();
  4.  
  5.   //JEŚLI NIE ISTNIEJE SESJA UŻYTKOWNIKA TO POWRÓT NA STRON LOGOWANIA
  6.   if ( (!isset($_SESSION['nick'])) && (!isset($_SESSION['haslo'])) )
  7.   {
  8. 	 ?>
  9. 	 <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.0 Transitional//EN">
  10. 	 <html>
  11. 	 <head>
  12. 		   <meta http-equiv="Content-Type" content="text/html; charset=iso-8859-2">
  13. 		   <meta name="pragma" content="no-cache" />
  14. 		   <link rel="stylesheet" type="text/css" href="autoryzacja.css" />
  15. 	 </head>
  16. 	 <body>
  17. 		   <table width="80%" align="center" border="0" cellpadding="14">
  18. 				  <tr>
  19. 					  <td><img src="images/spacer.gif" alt="" width="0" height="140"></td>
  20. 				  </tr>
  21. 				  <tr>
  22. 					  <td><h2 class="error">BRAK UPRAWNIEŃ! &nbsp ZALOGUJ SI</h2></td>
  23. 				  </tr>
  24. 		   </table>
  25. 	 </body>
  26. 	 </html>
  27. 	 <?php
  28. 	 echo "<META HTTP-EQUIV='Refresh' CONTENT='3; URL=main.php'>";
  29. 	 exit();
  30.   }
  31. ?>
[PHP] pobierz, plaintext


Co o tym sądzicie? Poprawilibyście coś?
Jabol
14.05.2006, 20:49:40
Jeżeli miałbym to ocenić w skali 1 do 10 dostałbyś 1, i to z wielkim minusem!

Nawet tego skryptu nie przejrzałem - odpowiedź na pytanie za co ta ocena znajedziesz już w trzeciej linijce!

Popraw to zobaczymy winksmiley.jpg
ActivePlayer
14.05.2006, 21:00:24
masz gdzies ten skrypt online ? chcialbym sprawdzic conieco.
Jarod
14.05.2006, 21:43:53
Cytat(Jabol @ 2006-05-14 19:49:40)
Jeżeli miałbym to ocenić w skali 1 do 10 dostałbyś 1, i to z wielkim minusem!

Nawet tego skryptu nie przejrzałem - odpowiedź na pytanie za co ta ocena znajedziesz już w trzeciej linijce!

Popraw to zobaczymy winksmiley.jpg

Nie wiem o co Ci chodzi.. Możesz napisać gdzie jest błąd?

@ActivePlayer: nie mam na serwerze
erix
14.05.2006, 22:41:09
masz stala sofik?

[PHP] pobierz, plaintext 
  1. <?php
  2. session_name(sofik);
  3. ?>
[PHP] pobierz, plaintext


chyba nie, wiec powinno byc:

[PHP] pobierz, plaintext 
  1. <?php
  2. session_name('sofik');
  3. ?>
[PHP] pobierz, plaintext
Jarod
14.05.2006, 22:43:58
Cytat(erix @ 2006-05-14 21:41:09)
najpierw startuj sesje, potem zmieniaj jej nazwe...

To nie ma żadnego wpływu na bezpieczeństwo. I działa. Ale skoro tak mówisz to poprawie..

Pozatym myślę, że Jabol doczepił się o coś innego..
erix
14.05.2006, 22:45:13
sory, zmienilem posta... worriedsmiley.gif
rozwiazanie ^^^
Jarod
14.05.2006, 22:51:24
Cytat(erix @ 2006-05-14 21:45:13)
sory, zmienilem posta... worriedsmiley.gif
rozwiazanie ^^^

Poprawiłem. Proszę jeszcze raz o ocenę.

Czy to bezpieczny sposób na autoryzację (oczywiście dodam addslashes() i konwersję typów)?

Czy dobrze zabezpieczam każdą podstronę?
To jest wersja lo-fi głównej zawartości. Aby zobaczyć pełną wersję z większą zawartością, obrazkami i formatowaniem proszę kliknij tutaj.
Invision Power Board © 2001-2024 Invision Power Services, Inc.