Авторизация php

chemax, Ломаеться всё :) Но от школьнегов спасает обычно:

1) Шифрация пароля в md5+соль

2) Защита форм от sql

3) Автобан фаиром или скриптом после 3-5 неверных попыток ввода пароля :)

да я не знаю как с кукисами быть. в них сохранять хэш пароля и логин?

Какие кукисы? Вы вообще какие статьи читали?

В кукисах только номер сессии храниться и всё.

Возьмите готовую авторизацию из Zend Framework. Лучше вы не напишите.

По поводу теории: PHP5 для профессионалов, глава «Безопасность сеанса».

вот вроде неплохая авторизация

http://pyha.ru/articles/php/auth/

pasha220992, Дерьмовый пример нет защиты от брута и проверки входящих данных

вопрос еще.

у меня в индекс.пхп я подключаю файл логин.пхп/ каждый раз при обновление страницы делать запрос к бд и проверять данные?

Вам же уже ответили! Вы знаете что такое сессия?

Уважаемый ТС, советую почитать Вам следующее:

http://ru.php.net/manual/ru/book.session.php — непосредственно по сессиям (необходимо для нормальной авторизации).

Прочитайте стандартную информацию, а не статьи.

вот что получилось. с позиции безопасности конечно фигово. но это все добавится. пока не использовал md5, тк пока только тестил. хотел бы узнать нормальна ли сама логика?

Форма входа и приветствия всякие

$login='
<form action="'.$_SERVER['PHP_SELF'].'?do=login" method="post">
Имя посетителя:<br/>
<input type=text name="name" value="'.$_SESSION['user'].'"><br/>
Пароль:<br/>
<input type=password name=password value="'.$_SESSION['password'].'"><br/>
<input type=submit value="Отправить">
<input type=hidden name=session_id value='.session_id().'>
</form>';

if(isset($_SESSION['user']))
{$login='Здравствуйте, '.$_SESSION['user'].'!';}

Обработка формы логина

if($_POST['session_id'] != session_id()){exit("Попытка взлома.");}

$sql = @mysql_query("SELECT * FROM `users` WHERE `password` = '$_POST[password]' AND name='$_POST[name]'");

if(!$sql) $content='Ошибка выполнения запроса';

if (mysql_num_rows ($sql) > 0){

if(session_start()){
$_SESSION['user'] = $_POST['name'];
$_SESSION['password'] = $_POST['pass'];}
else $content='Ошибка идентификации: неправильный пароль';}
else $content='Ошибка идентификации: посетитель не зарегистрирован';

chemax добавил 03.07.2009 в 13:10

а как же вконтакте? там в кукисах пароль и логин