Проблема с авторизацией

сделал авторизацию такую

Ну для начала отправляй в БД сразу логин и пароль, только обрабатывай через mysqli_real_escape_string , ставь сразу к запросу LIMIT 1, потом проверяй, если число строк равно 1 найденных, то добавляешь сессию, в сессии кидаешь индикатор какой-то чтоб при повторной проверки авторизации, твой скрипт понимал, что все ок, при выходе заменяешь индикатор, который будет говорить, что пользователь не авторизован. Вот и весь процесс .
(Добавление)
И на будущее, никогда таких вещей не делай name='".$_POST['user']."' с такой фигней можно отправить тебе через $_POST['user'] строку кторая будет обрезать тебе хвост твоего запроса, а там дописывать нечто страшное например создаст тебе в БД нового пользователя с правами админа и будет вас двое, только ты про второго можешь сразу и не узнать, а только в последствии.

ALEN А можно всё тоже но по русски =)
я начинающий кодер меня даже кодером нельзя назвать =)

Я бы конечно не замарачивался, а банально бы заменил твой пароль на свой и сделал быстро все, что угодно. А для этого мне бы нужно было знать только логин админа, название таблицы которая хранит пароль и столбец который хранит пароль и все пароль заменен:

Таблица у тебя: users
Колонка: pass

$_POST['password'] - сюда отправляем строку вида "admin'; UPDATE users SET pass='pass' where name='admin'; /*"

Как вариант ))))
(Добавление)
BoJlod9I
Вечером если успею, то выложу свой класс авторизации, уже давно обещал, но руки не доходят.

ALEN Ну расскажи мне просто поочерёжность как через сессию написать!
и желательно функции которыми там использовать
(Добавление)
или скнь мне свою асю в ПМ ПЛЗ

Сделал ВСЕ на сесии но так как я с ними толком ничего не могу понять
расскажите что я делаб тут не так или сделайте так как нужно

А если проверять рефер, то будет безопаснее?
(Добавление)

Ааа... понял

ams
Нет, безопасней не будет, его можно легко подставить, его-то мы от браузера получаем у клиента.

1) Проверяем наличие существующей сессии которая скажет нам, что клиент авторизован.
2) Если авторизован то показываем соответствующую информацию, если нет, то
3) Если не авторизован то проверяем отправлен нам методом GET или POST как устроена авторизация пароль и логин, если да то проверяем наличие пары в БД, если все ок то ставим сессию как подключенную и перезагружаем страницу
4) Если сессии нет, авторизоваться никто не хотел или не вышло, то выводим страницу с авторизацией.

Sps

BoJlod9I В действительности предполагаемый вариант решения задачи не отвечает базовым требования безопасности web-приложений, в силу использования конструкций слияния разделенных элементов различного исходного уровня трактования в процессе интерполяции, без проведения предшествующих действий по обеспечению коррекции разделяющих и управляющих вложенных объектов и сопоставления кодовой таблицы, которые могут быть произведены на основании использования функции mysql_real_escape_string

-----
Сделать можно все что угодно - нужно только старание, терпение и хороший поисковик
Безлимитный web-хостинг от 15 рублей за 40 МБ дискового пространства - http://ihost[dot]oks71[dot]ru/