-
سیستم کاربری امن
سلام
من یه سیستم کاربری ساختم که یوزر کاربر رو توی یه سیسن ذخیره میکنه!
سیسن ها رو برای امنیت بیشتر توی دیتابیس ذخیره میکنم!
برای اینکه کاربر همیشه در حالت لوگین باشه، هنگام لوگین شدن، نام کاربری رو به صورت md5 داخل یه فیلد در دیتابیس قرار میدم، همچنین این نام کاربری رو به صورت md5 داخل یه کوکی ذخیره میکنم!
و هنگام ورود به سایت اطلاعات این دوتا رو باهام بررسی میکنم، در صورتی که برابر باشن لوگین میشه!
اینم کدش:
[PHP]if (isset($_COOKIE['login']) && strlen($_COOKIE['login']) == 21){
$Query = mysql_query ("SELECT * FROM om_users WHERE login='".sql_quote($_COOKIE['login'])."' LIMIT 0,1 ");
$row = mysql_fetch_array($Query);
if (isset($row['login'])) {
login();
}
}
[/PHP]حالا میخوام ببینم آیا این روشی که من استفاده میکنم، امن هست؟
همچنین یه سوال: تعداد یوزرهای من حدود چند هزارتاست! لذا خواستم ببینم ذخیره سیسن ها که دارای اطلاعات کابرها هستن در دیتابیس برام مشکلی پیش نمیاره!؟ (هاستم اشتراکی نیست!)
-
سلام
استفاده از نام کاربری به تنهایی برای لاگین نگه داشتن کاربر اشتباه هست چون نام کاربری هر کاربر برای همه مشخص هست و میشه با هش کردن اون یه کوکی جعلی ایجاد بشه و از سشن کاربر استفاده کرد
برای این کار به نظر من بهتره که از پسورد هش شده بعلاوه آی دی سشنی که به کاربر اختصاص داده شده (اون هم به صورت هش شده) برای مطمئن شدن از صحت کوکی استفاده بشه. در ضمن سالت کردن رو هم هنگام هش کردن اطلاعات فراموش نکنید. ضمن اینکه بهتره یک مدت زمان مشخص هم برای لاگین نگه داشتن کاربر در نظر بگیرید
همینطور میشه در دیتابیس برای یوزرهایی که تیک همیشه لایگن بودن را موقع ورود چک زدند یک فیلد اضافه کنید تا اجازه لاگین به وسیله کوکی رو بده و یا یک رشته رندوم برای کاربر در دیتابیس ثبت کنید که موقع سالت کردن اطلاعات ازش استفاده بشه و بعداً بتونید با استفاده از این اطلاعات کوکی رو چک کنید
-
سلام
ببنید کد صفحه لوگین من به صورت زیره:
[PHP]if (isset($_POST['submit'])){
if (!empty($_POST['username']) && !empty($_POST['password'])){
if (strlen($_POST['username']) > 15 || strlen($_POST['password']) > 50){
if (strlen($_POST['username']) > 15) $error = 'نام کاربری معتبر نمی باشد.';
if (strlen($_POST['password']) > 50 ) $error = 'رمز عبور وارد شده معتبر نمی باشد';
} else {
$user = sql_quote($_POST['username']);
$pass = sql_quote(md5 ( $_POST['password'] . 'a!1!@2@#3#^Z'));
$COUNT = mysql_query("SELECT COUNT(*) as num FROM om_users WHERE Username='$user' AND Password='$pass' LIMIT 0,1");
$COUNT = mysql_fetch_array($COUNT, MYSQL_ASSOC);
if (!empty($COUNT['num'])){
$Query = mysql_query ("SELECT * FROM om_users WHERE Username='$user' AND Password='$pass' LIMIT 0,1 ");
$row = mysql_fetch_array($Query);
if ($row['Active'] == '1'){
$set = substr(md5($user.'a!1!@2@#3#^Z'),2,21);
$sql = mysql_query("UPDATE om_users SET login='$set' WHERE Username='$user'") or die(mysql_error());
setcookie('login',$set,time() + (86400 * 365)); // 86400 = 1 day
$_SESSION['user'] = $_POST['username'];
$_SESSION['access'] = $row['Level_access'];
$accept = 'شما با موفقیت وارد شدید، اکنون به صفحه اصلی هدایت می شوید.';
} else {
$error = 'نام کاربری شما فعال نمی باشد.';
}
} else {
$error = 'نام کاربری یا رمز عبور شما اشتباه است.';
}
}
} else {
$error = 'نام کاربری یا رمز عبور شما وارد نشده است.';
}
}[/PHP]
و با توجه به کد این قسمت:
[PHP] $set = substr(md5($user.'a!1!@2@#3#^Z'),2,21);
$sql = mysql_query("UPDATE om_users SET login='$set' WHERE Username='$user'") or die(mysql_error());
setcookie('login',$set,time() + (86400 * 365)); // 86400 = 1 day
[/PHP]
من آمدم از نام کاربری استفاده کردم!
هر چند گفته شما کاملا صحیحه و من باید کدهام رو تغییر بدم!
اما در کل به نظرتون کد من چقدر امنیت داره!؟
تشکر.!
