Форумы портала PHP.SU :: Версия для печати

2. Sajaxt - 30 Октября, 2009 - 11:48:55 - перейти к сообщению

Я конечно программист не опытный и начинающий, но кажется что зря Вы функцию filtr() писали. Есть такая функция mysql_real_escape_string(), она как раз занимается экранированием спецсимволов и т.д.

И надеюсь никто не обидится, я тоже хотел кинуть на обсуждение скрипт авторизации Улыбка

но тему уже открыли, поэтому выложу сюда свой скрипт:

dbaccsess.php

PHP:
скопировать код в буфер обмена

 
<?PHP 
//*********Datenbankanschluss**************//
//------Vipolnenije Zaprosa-----------------
function DBconnect(){
        $con_id = @mysql_connect("localhost","root","") or die("Не могу соедениться с сервером");
        @mysql_select_db("probe",$con_id) or die("Не могу соедениться с БД");
        return $con_id;
}
 
function DBresult($query,$flag){
    $dbresult = mysql_query($query);
 
    if($flag==1){
        return mysql_fetch_array($dbresult);
    }else{
        return $dbresult;
    }
}
 
function DBdisconnect($con_id){
    @mysql_close($con_id) or die("соеденение с сервером не было завершино");
}
?>
 

authorization.php

PHP:
скопировать код в буфер обмена

 
/*таблица пользователей
CREATE TABLE `probe`.`user` (
`id` INT( 10 ) NOT NULL AUTO_INCREMENT PRIMARY KEY ,
`email` VARCHAR( 60 ) NOT NULL ,
`pswrd` VARCHAR( 80 ) NOT NULL ,
`hash` VARCHAR( 100 ) NOT NULL ,
`ip` VARCHAR( 20 ) NOT NULL ,
`log_time` INT( 30 ) NOT NULL
) ENGINE = MYISAM ;
*/
<?PHP 
        session_start();
        include("../scriptparts/dbaccess.php");
        $con_id=DBconnect();
        
        if(isset($_POST['no_hash'])){//Проверяем перешелли пользователь на страницу с формы
                if($_POST['email']=='undefined' or $_POST['email']=="") die("Вы не заполнели поле электроной почты!");
        if($_POST['pswrd']=='undefined' or $_POST['pswrd']=="") die("Вы не ввели пароль!");
        
        $email = mysql_real_escape_string($_POST['email']);
        
        $pot_user=DBresult("SELECT id,pswrd FROM user WHERE email='$email' LIMIT 1",1);
        
        if(!$pot_user){
                die("Вы не зарегестрированы в системе!");
        }elseif(md5($_POST['pswrd'])!=$pot_user['pswrd']){
                die("Вы ввели не верный пароль!");              
        }else{
                $hash=md5(uniqid());
                $ip=$_SERVER["REMOTE_ADDR"];
                log_time=time();        
        
                $_SESSION['hash']=$hash;
                $_SESSION['log_time']=$log_time;
        
                DBresult("UPDATE user SET hash='$hash',ip='$ip',log_time='$log_time' WHERE email='$email'",0);
        }
        }elseif(isset($_SESSION['hash'])){// Былли пользователь уже авторизирован
                $ip=$_SERVER["REMOTE_ADDR"];
                $pot_user=DBresult("SELECT hash,log_time FROM user WHERE ip='$ip' LIMIT 1",1);
                
                if(!$pot_user){
                        die("Вы не авторизированы!");
                }elseif((time()-3600)>$pot_user['log_time']){
                        die("Время сессии истекло!");
                }elseif($_SESSION['hash']!=$pot_user['hash']){
                        die("Вы не авторизированы!");
                }else{
                        DBresult("UPDATE user SET log_time='".time()."' WHERE ip='$ip' LIMIT 1",0);
                }
        }else{
                DBdisconnect($con_id);
                die("Вы не авторизированы");
        }
        
        DBdisconnect($con_id);
?>
 

3. OverNik - 30 Октября, 2009 - 15:37:22 - перейти к сообщению

в будущем функция фильтр очень пригодится, от инъекций и XSS

4. lolo - 30 Октября, 2009 - 16:34:21 - перейти к сообщению

OverNik, извините, но уже с самого начала код не гуд.

PHP:
скопировать код в буфер обмена

//проверка куков
$enter = 0;
if(isset($_COOKIE['user']) or isset($_COOKIE['psw']) or $enter ==1) // Такс, проверяете, установлено ли в куку 'user' ИЛИ 'psw' - то есть вам все равно, что из этого установлено? И зачем проверка $enter ==1, если вы строкой выше установили эту переменную равной нулю? 
{
    //Фильтрация логина
    $login = $_COOKIE['login']; // А установлено ли в куку 'login' вам, судя по условию выше, наплевать? ;)
    filtr($login, 0); 
    $login = $filtr; // не разбиралась в вашем "фильтре", пока ничего по его поводу не скажу, кроме того, что не правильнее было бы сделать, чтобы функция возвращала значение, а не объявляла какую-то переменную $filtr глобальной? Тогда бы выражение выглядело бы проще:  $login = filtr($login, 0); 
//фильтрация пароля
    $psw = $_COOKIE['psw'];
    filtr($psw, 0);
    $psw = $filtr;  // Три строчки можно записать в одну: $psw = filtr($_COOKIE['psw'], 0);
 

Дальше не хватило моих слабых сил разбираться, да и времени в конце рабочего дня в пятницу - тоже Радость

5. OverNik - 30 Октября, 2009 - 19:07:07 - перейти к сообщению

Спасибо, сегодне же исправлю.

не совсем понял с функцией filtr, можна пожалуйста подробней

6. lolo - 03 Ноября, 2009 - 10:54:48 - перейти к сообщению

OverNik пишет:

не совсем понял с функцией filtr, можна пожалуйста подробней

Во-первых, убрать global $filtr из функции. Во-вторых, почитать про функции побольше Улыбка

Правильнее сделать, чтобы функция возвращала некий результат, который получается после обработки получаемых значений, а не устанавливала какие-то глобальные переменные.

PHP:
скопировать код в буфер обмена

function filtr($text,$prob = 1)
{
    // здесь обработка $text, $prob
    return preg_replace($pattern, "", $text); // возвращение результата, значение которого примет переменная, если написать напрмер: $var = filtr($x, $y);
}

Глобальные переменные вообще желательно избегать, дабы исключить возможность создания трудновыявлеямых багов (особенно в больших проектах).

А вообще ваша функция filtr искажает данные, тупо выкидывая все нужное и ненужное, например, если у меня логин окажется o'nill, то она будет искать onill или alloy, а будет искать oy. Но это же неверно. Так что правильнее будет просто экранировать спецсимволы функциями addslashes() или mysql_real_escape_string(). И незачем изобретать велосипед, тем более кривой.

7. Sajaxt - 04 Ноября, 2009 - 23:49:15 - перейти к сообщению

Люди добрые а по поводу моего скрипта, ктонить чтонить скажет? Улыбка

8. JROUD - 05 Ноября, 2009 - 10:03:56 - перейти к сообщению

Sajaxt, большого смысла в функциях DBconnect, DBresult не вижу, но в функции DBdisconnect его вообще нет. Зачем создавать функцию которая передаёт получиное значение другой функции? Да, и я не уверен, но разве не нужно в php указывать void если функция ничего не возвращает?

9. Мелкий - 05 Ноября, 2009 - 15:13:55 - перейти к сообщению

JROUD пишет:

Да, и я не уверен, но разве не нужно в php указывать void если функция ничего не возвращает?

Нет, не надо. Это вы C/C++ перечитали Улыбка

JROUD пишет:

большого смысла в функциях DBconnect, DBresult не вижу

А если подумать? Это общение с СУБД.

JROUD пишет:

но в функции DBdisconnect его вообще нет

Просто правило хорошего тона, сказать СУБД, что это соединение завершено.

10. Champion - 05 Ноября, 2009 - 15:26:30 - перейти к сообщению

Мелкий пишет:

А если подумать? Это общение с СУБД.

JROUD прав.

Мелкий пишет:

Просто правило хорошего тона, сказать СУБД, что это соединение завершено.

И тут тоже.
Вопрос в том, зачем оформлять это в отдельную функцию?

11. JROUD - 05 Ноября, 2009 - 15:36:03 - перейти к сообщению

Мелкий пишет:

JROUD пишет:

но в функции DBdisconnect его вообще нет

Просто правило хорошего тона, сказать СУБД, что это соединение завершено.

Я не против того что нужно закрыть соединение с СУБД, я говорю о том что задача функции DBdisconnect вызвать функцию mysql_close, а зачем если можно вызвать сразу mysql_close?

12. Sajaxt - 05 Ноября, 2009 - 15:47:02 - перейти к сообщению

Хорошо спасибо, буду испровлять.

А что на счет authorization.php?

13. Sajaxt - 14 Ноября, 2009 - 13:49:56 - перейти к сообщению

Что, никто совсем ничего не скажет?