Hallo allemaal,

Ik van deze site een loginsysteem afgehaald en dat werkt prima!
Maar ik wil graag nieuwe USERS toevoegen die elk hun eigen functies hebben.

Ik heb dus een nieuwe safe-file gemaakt, genaamd safe_verantwoordelijken.php, waar dus enkele VERANTWOORDELIJKEN toegang op mogen hebben.
In die file heb ik de status aangepast naar het getal 2, zie hieronder



<?
// Groot Inlogsysteem versie 2
// Copyright Jorik Berkepas
// Support by [email protected] (MSN|Email)
// Pagina: safe_verantwoordelijken.php: Includen bovenaan een bestand welke alleen admins mogen bekijken

// Volgende regel commentaar maken als config.php al geinclude is (# of //)
include("config.php");

if(isset($_SESSION['user_id'])) {
// Inloggen correct, updaten laatst actief in db
$sql = "UPDATE gebruikers SET lastactive=NOW() WHERE id='".$_SESSION['user_id']."'";
mysql_query($sql);
if($_SESSION['user_status'] == 2) {
// Status correct, klaar
}else{
echo "Je hebt niet de juiste rechten om deze pagina te bekijken. <br />\n<a href=\"http://www.rodekruismachelen.be/loggedin.php\">&laquo; Ga terug</a>";
exit();
}
}else{
if(isset($_COOKIE['user_id'])) {
$sql = "SELECT wachtwoord,status FROM gebruikers WHERE id='".$_COOKIE['user_id']."'";
$query = mysql_query($sql);
$rij = mysql_fetch_object($query);
$dbpass = htmlspecialchars($rij->wachtwoord);
$dbstatus = htmlspecialchars($rij->status);
if($dbpass == $_COOKIE['user_password']) {
$_SESSION['user_id'] = $_COOKIE['user_id'];
$_SESSION['user_status'] = $dbstatus;
}else{
setcookie("user_id", "", time() - 3600);
setcookie("user_password", "", time() - 3600);
echo "Cookies incorrect. Cookies verwijderd.";
header("Location: inloggen.php");
}
}else{
header("Location: inloggen.php");
}
}
?>




Ik heb een nieuwe user aangemaakt (vb. Hulpdienstverantwoordelijke) via registreren.php en in phpmyadmin heb ik hem de status 2 gegeven, toch kan iedereen op die bepaalde pagina terecht, ook users met status 1 en 0. Wat doe ik dan verkeerd?
Wat ben ik vergeten?

Dank u!
setcookie("user_password", "", time() - 3600);

Hmmm, heerlijk! Cookies met een wachtwoord erin!

Heb je al bedacht dat iedere Jan Doedel met een internetverbinding deze cookies kan onderscheppen en uitlezen? Wellicht is het een beter idee om geen wachtwoord te vragen, dan is het tenminste voor iedereen duidelijk dat er geen enkele sprake is van beveiliging. Nu doe jij voorkomen alsof de boel is beveiligd...

Wachtwoorden zet je nooit en te nimmer in een cookie of een sessie. Daar maak je zelfs geen enkele uitzondering op, dat is nooit en te nimmer noodzakelijk. Ook niet als jij denkt van wel, dat levert alleen maar veiligheidsproblemen op.
Hoe kan ik het dan aanpassen??


En ja .. nu heb je mijn vraag niet beantwoord ...
Olivier Van Roy schreef op 18.01.2008 17:48
En ja .. nu heb je mijn vraag niet beantwoord ...
Klopt, maar jij zal dan ook eerst je code opnieuw moeten gaan opstellen. Er zit een fout in de basis, sloop die er dus eerst een uit.
Oei Oei Oei

Zo goed ben ik niet hoor ...

Ik heb die hier gewoon maar afgehaald en toegepast op eigen website.

Reageren