Авторизация php

Еще неплохо для начала почитать про фильтрацию входящих данных и SQL инъекции

chemax,

$sql = @mysql_query("SELECT * FROM `users` WHERE `password` = '$_POST[password]' AND name='$_POST[name]'");

искренне советую заменить на:

$sql = @mysql_query("SELECT * FROM `users` WHERE `users`.`password` =  '". mysql_real_escape_string($_POST['password']) ."' AND `users`.`name` = '". mysql_real_escape_string($_POST['name']) ."' ");

Весьма надежная и проверенная схема запроса.

denex добавил 03.07.2009 в 14:52

Конкретнее советую почитать на:

http://php.net/mysql_real_escape_string

denex добавил 03.07.2009 в 14:53

Опять же, дабы не нагружать сервер.

Если много полей в таблице юзеров, советую, не вытягивать запросом все из таблицы, а только нужное, например: логин, пароль, мыло, id и т.п.

denex добавил 03.07.2009 в 14:55

Например:

$sql = @mysql_query("SELECT `users`.`name`, `users`.`password`, `users`.`id` FROM `users` WHERE `users`.`password` =  '". mysql_real_escape_string($_POST['password']) ."' AND `users`.`name` = '". mysql_real_escape_string($_POST['name']) ."' ");  

Ну, это я образно, если не понятно :-)

chemax, что-то у тебя все запутано. Ты передаешь данные через сессию в Форму входа, т. е. пользователь уже проходил авторизацию, а это вход куда-нибудь еще? Вот простая авторизация.

Форма входа:

<?php

if(isset($_SESSION['user']))

{

   echo $login='Здравствуйте, '.$_SESSION['user'].'!';

}

else

{

?>

<form action="'.$_SERVER['PHP_SELF'].'?do=login" method="post">

Имя посетителя:<br/>

<input type=text name="name" value=""><br/>

Пароль:<br/>

<input type=password name="password" value="'"><br/>

<input type=submit value="Отправить">

</form>

<?php

}

?>

Обработка:

<?php

$name = $_POST['name'];

$password = md5($_POST['password']);



$checkU = mysql_query("SELECT 

						*

						FROM 

								users 

						WHERE 

								name = '$name' AND password = '$password'");

if (mysql_num_rows($checkU) != 1) 

{

	echo "Вы ввели неправильные данные";

}

else 

{

     $_SESSION['user'] = $name;

     $_SESSION['password'] = $password;

     header('Location:../index.php');

}

?>

вранье, ни одной вы не читали. Читали бы, вообще бы топика не было.

<?php

if(isset($_SESSION['user']))

{

   echo $login='Здравствуйте, '.$_SESSION['user'].'!';

}

else

{

?>

<form action="'.$_SERVER['PHP_SELF'].'?do=login" method="post">

Имя посетителя:<br/>

<input type=text name="name" value=""><br/>

Пароль:<br/>

<input type=password name="password" value="'"><br/>

<input type=submit value="Отправить">

</form>

<?php

}

?>

<?php

$name = $_POST['name'];

$password = md5($_POST['password']);



$checkU = mysql_query("SELECT 

						*

						FROM 

								users 

						WHERE 

								name = '$name' AND password = '$password'");

if (mysql_num_rows($checkU) != 1) 

{

	echo "Вы ввели неправильные данные";

}

else 

{

     $_SESSION['user'] = $name;

     $_SESSION['password'] = $password;

     header('Location:../index.php');

}

?>

да, в форме затупил я. спасибо. но мне кажется что мой вариант просто более обрабатывает ошибки)

chemax добавил 03.07.2009 в 16:05

$sql = @mysql_query("SELECT * FROM `users` WHERE `password` = '$_POST[password]' AND name='$_POST[name]'");

$sql = @mysql_query("SELECT * FROM `users` WHERE `users`.`password` =  '". mysql_real_escape_string($_POST['password']) ."' AND `users`.`name` = '". mysql_real_escape_string($_POST['name']) ."' ");

ну это то естественно все закроется(даже уже закрылось)

chemax добавил 03.07.2009 в 16:06

поищите статьи на хабрахабре. там далеко не для моего ума все писанное. одна есть не плохая, но там через куки только.

Я же вам предложил взять Zend_Auth.

Будет у вас красивый и секурный код вроде:

function _authenticate($identity, $credential)
{
	$adapter = new Zend_Auth_Adapter_DbTable(Zend_Registry::get('db'), 'users', 'username', 'password', 'MD5(?)');
	$adapter->setIdentity($identity);
	$adapter->setCredential($credential);
	$auth = Zend_Auth::getInstance();
	if ($result = $auth->authenticate($adapter)->isValid()) {
		$auth->getStorage()->write($adapter->getResultRowObject(null, 'password'));
	}

	return $result;
}

Я использую куки и сеесию. Так чтоб каждый раз не вводить пароли. При первом заходе выборка данных из кук сверка с базой если совпало то создаем сессию и по сессии работаем. Сессию взломать как говорят не возможно а вот куки без проблем можно подменить

Зависит от хостера. Я у двух своих предыдущих хостеров имел доступ к общей папке /tmp, где хранились файлы сессий всех пользователей. Было интересно читать что туда пихается ;)

По теме как делаю я. Данные в сессии (я сам себе хостер и посторонних пользователей на моей машине нет). В куках только признак сессии, соответствие которому хранится в таблице вместе с данными типа ip, браузер. Для авторизации по куке необходимо полное совпадение юзерагента и частичное (2 верхних сегмента) ip. Если что-то из этого нарушается, значит либо пользователь юзает несколько операторов (тогда пусть под каждый авторизуется и ставит галку "запомнить меня"), либо это не пользователь вовсе. Была идея ещё генерить куку на основе уникальных данных пользователя, но это геморой и паранойя для всех сторон.

первое ладно, а второе то зачем? Что вы будете проверять? Разве что длину логина...

Dreammaker, На sql инъекции я имелл ввиду :)