De PHPhulp kroeg
authenticatie
als beginner ben ik wat aan het stoeien met de beveiliging van website.
Ik heb een heel eenvoudig scriptje bijgevoegd (authenticatie1.inc.php) die via een require_once() wordt aangeroepen in een testscriptje (testaut.php).
In mijn studieboek ben ik ondertussen veel verder, dus ik weet dat het authenticatie script veel beter en uitgebreider kan, maar dat maakt voor mijn onderstaande vraag niets uit, want daar loop ik ook bij uitgebreidere scripts tegen aan.
Mijn vraag:
- stel je voert in het invulfomulier (authenticatie1.inc.php) een juiste naam + wachtwoord in, dan moet het scriptje verder lopen en de echo uitspugen ‘Je bent ingelogd’, maar dat gebeurt niet. Ik begrijp niet waarom dat niet gebeurd. ;
- ik zou zeggen dat het misgaat in het autheticatie1.inc.php in de regels 19-21. Ik zou zeggen dat er daar nog een terugverwijzing moet plaatsvinden van het autheticatiescript naar het testauthscript? Of gaat het ergens anders mis?
Kan het soms ook zijn dat het aan de instellingen van php.ini ligt wat betreft de opslag van cookies en session-variabelen? Voor de zekerheid post ik ook een stukje van de php.ini.
Wie zou me willen helpen?
Alvast bedankt, Pim
authenticatie1.inc.php
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
<?php
session_start();
function controle($naam, $wachtwoord) {
if ($naam !="Pim" || $wachtwoord !=md5("pass100")) {
return false;
} else {
return true;
}
}
//check naam en wachtwoord
if (isset($_POST["verzonden"]) && controle($_POST["naam"], md5($_POST["wachtwoord"]))==true) {
//naam en wachtwoord zijn beiden correct
$_SESSION['naam'] = $naam;
$_SESSION['wachtwoord'] = $md5($wachtwoord);
}
if (controle($_SESSION['naam'],$_SESSION['$wachtwoord'])==false) {
//naam en/of wachtwoord is fout
echo "<form method=\"post\" action=\"$PHP_SELF\">\n";
echo "Naam: ";
echo "<input type=\"text\" name=\"naam\">";
echo "<br>";
echo "Wachtwoord: ";
echo "<input type=\"password\" name=\"wachtwoord\">";
echo "<br>";
echo "<input type=\"submit\" value=\"verzenden\" name=\"verzonden\">";
echo "</form>";
exit;
}
?>
session_start();
function controle($naam, $wachtwoord) {
if ($naam !="Pim" || $wachtwoord !=md5("pass100")) {
return false;
} else {
return true;
}
}
//check naam en wachtwoord
if (isset($_POST["verzonden"]) && controle($_POST["naam"], md5($_POST["wachtwoord"]))==true) {
//naam en wachtwoord zijn beiden correct
$_SESSION['naam'] = $naam;
$_SESSION['wachtwoord'] = $md5($wachtwoord);
}
if (controle($_SESSION['naam'],$_SESSION['$wachtwoord'])==false) {
//naam en/of wachtwoord is fout
echo "<form method=\"post\" action=\"$PHP_SELF\">\n";
echo "Naam: ";
echo "<input type=\"text\" name=\"naam\">";
echo "<br>";
echo "Wachtwoord: ";
echo "<input type=\"password\" name=\"wachtwoord\">";
echo "<br>";
echo "<input type=\"submit\" value=\"verzenden\" name=\"verzonden\">";
echo "</form>";
exit;
}
?>
testauth1.php
stukje php.ini
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
[Session]
; Handler used to store/retrieve data.
session.save_handler = files
; Argument passed to save_handler. In the case of files, this is the path
; where data files are stored. Note: Windows users have to change this
; variable in order to use PHP's session functions.
;
; As of PHP 4.0.1, you can define the path as:
;
; session.save_path = "N;/path"
;
; where N is an integer. Instead of storing all the session files in
; /path, what this will do is use subdirectories N-levels deep, and
; store the session data in those directories. This is useful if you
; or your OS have problems with lots of files in one directory, and is
; a more efficient layout for servers that handle lots of sessions.
;
; NOTE 1: PHP will not create this directory structure automatically.
; You can use the script in the ext/session dir for that purpose.
; NOTE 2: See the section on garbage collection below if you choose to
; use subdirectories for session storage
;
; The file storage module creates files using mode 600 by default.
; You can change that by using
;
; session.save_path = "N;MODE;/path"
;
; where MODE is the octal representation of the mode. Note that this
; does not overwrite the process's umask.
;session.save_path = "/tmp"
; Whether to use cookies.
session.use_cookies = 1
;session.cookie_secure =
; This option enables administrators to make their users invulnerable to
; attacks which involve passing session ids in URLs; defaults to 0.
; session.use_only_cookies = 1
; Name of the session (used as cookie name).
session.name = PHPSESSID
; Initialize session on request startup.
session.auto_start = 0
; Lifetime in seconds of cookie or, if 0, until browser is restarted.
session.cookie_lifetime = 0
; The path for which the cookie is valid.
session.cookie_path = /
; The domain for which the cookie is valid.
session.cookie_domain =
; Whether or not to add the httpOnly flag to the cookie, which makes it inaccessible to browser scripting languages such as JavaScript.
session.cookie_httponly =
; Handler used to serialize data. php is the standard serializer of PHP.
session.serialize_handler = php
; Define the probability that the 'garbage collection' process is started
; on every session initialization.
; The probability is calculated by using gc_probability/gc_divisor,
; e.g. 1/100 means there is a 1% chance that the GC process starts
; on each request.
session.gc_probability = 1
session.gc_divisor = 1000
; After this number of seconds, stored data will be seen as 'garbage' and
; cleaned up by the garbage collection process.
session.gc_maxlifetime = 1440
; NOTE: If you are using the subdirectory option for storing session files
; (see session.save_path above), then garbage collection does *not*
; happen automatically. You will need to do your own garbage
; collection through a shell script, cron entry, or some other method.
; For example, the following script would is the equivalent of
; setting session.gc_maxlifetime to 1440 (1440 seconds = 24 minutes):
; cd /path/to/sessions; find -cmin +24 | xargs rm
; PHP 4.2 and less have an undocumented feature/bug that allows you to
; to initialize a session variable in the global scope, albeit register_globals
; is disabled. PHP 4.3 and later will warn you, if this feature is used.
; You can disable the feature and the warning separately. At this time,
; the warning is only displayed, if bug_compat_42 is enabled.
session.bug_compat_42 = 0
session.bug_compat_warn = 1
; Check HTTP Referer to invalidate externally stored URLs containing ids.
; HTTP_REFERER has to contain this substring for the session to be
; considered as valid.
session.referer_check =
; How many bytes to read from the file.
session.entropy_length = 0
; Specified here to create the session id.
session.entropy_file =
;session.entropy_length = 16
;session.entropy_file = /dev/urandom
; Set to {nocache,private,public,} to determine HTTP caching aspects
; or leave this empty to avoid sending anti-caching headers.
session.cache_limiter = nocache
; Document expires after n minutes.
session.cache_expire = 180
; trans sid support is disabled by default.
; Use of trans sid may risk your users security.
; Use this option with caution.
; - User may send URL contains active session ID
; to other person via. email/irc/etc.
; - URL that contains active session ID may be stored
; in publically accessible computer.
; - User may access your site with the same session ID
; always using URL stored in browser's history or bookmarks.
session.use_trans_sid = 0
; Select a hash function
; 0: MD5 (128 bits)
; 1: SHA-1 (160 bits)
session.hash_function = 0
; Define how many bits are stored in each character when converting
; the binary hash data to something readable.
;
; 4 bits: 0-9, a-f
; 5 bits: 0-9, a-v
; 6 bits: 0-9, a-z, A-Z, "-", ","
session.hash_bits_per_character = 5
; The URL rewriter will look for URLs in a defined set of HTML tags.
; form/fieldset are special; if you include them here, the rewriter will
; add a hidden <input> field with the info which is otherwise appended
; to URLs. If you want XHTML conformity, remove the form entry.
; Note that all valid entries require a "=", even if no value follows.
url_rewriter.tags = "a=href,area=href,frame=src,input=src,form=fakeentry"
; Handler used to store/retrieve data.
session.save_handler = files
; Argument passed to save_handler. In the case of files, this is the path
; where data files are stored. Note: Windows users have to change this
; variable in order to use PHP's session functions.
;
; As of PHP 4.0.1, you can define the path as:
;
; session.save_path = "N;/path"
;
; where N is an integer. Instead of storing all the session files in
; /path, what this will do is use subdirectories N-levels deep, and
; store the session data in those directories. This is useful if you
; or your OS have problems with lots of files in one directory, and is
; a more efficient layout for servers that handle lots of sessions.
;
; NOTE 1: PHP will not create this directory structure automatically.
; You can use the script in the ext/session dir for that purpose.
; NOTE 2: See the section on garbage collection below if you choose to
; use subdirectories for session storage
;
; The file storage module creates files using mode 600 by default.
; You can change that by using
;
; session.save_path = "N;MODE;/path"
;
; where MODE is the octal representation of the mode. Note that this
; does not overwrite the process's umask.
;session.save_path = "/tmp"
; Whether to use cookies.
session.use_cookies = 1
;session.cookie_secure =
; This option enables administrators to make their users invulnerable to
; attacks which involve passing session ids in URLs; defaults to 0.
; session.use_only_cookies = 1
; Name of the session (used as cookie name).
session.name = PHPSESSID
; Initialize session on request startup.
session.auto_start = 0
; Lifetime in seconds of cookie or, if 0, until browser is restarted.
session.cookie_lifetime = 0
; The path for which the cookie is valid.
session.cookie_path = /
; The domain for which the cookie is valid.
session.cookie_domain =
; Whether or not to add the httpOnly flag to the cookie, which makes it inaccessible to browser scripting languages such as JavaScript.
session.cookie_httponly =
; Handler used to serialize data. php is the standard serializer of PHP.
session.serialize_handler = php
; Define the probability that the 'garbage collection' process is started
; on every session initialization.
; The probability is calculated by using gc_probability/gc_divisor,
; e.g. 1/100 means there is a 1% chance that the GC process starts
; on each request.
session.gc_probability = 1
session.gc_divisor = 1000
; After this number of seconds, stored data will be seen as 'garbage' and
; cleaned up by the garbage collection process.
session.gc_maxlifetime = 1440
; NOTE: If you are using the subdirectory option for storing session files
; (see session.save_path above), then garbage collection does *not*
; happen automatically. You will need to do your own garbage
; collection through a shell script, cron entry, or some other method.
; For example, the following script would is the equivalent of
; setting session.gc_maxlifetime to 1440 (1440 seconds = 24 minutes):
; cd /path/to/sessions; find -cmin +24 | xargs rm
; PHP 4.2 and less have an undocumented feature/bug that allows you to
; to initialize a session variable in the global scope, albeit register_globals
; is disabled. PHP 4.3 and later will warn you, if this feature is used.
; You can disable the feature and the warning separately. At this time,
; the warning is only displayed, if bug_compat_42 is enabled.
session.bug_compat_42 = 0
session.bug_compat_warn = 1
; Check HTTP Referer to invalidate externally stored URLs containing ids.
; HTTP_REFERER has to contain this substring for the session to be
; considered as valid.
session.referer_check =
; How many bytes to read from the file.
session.entropy_length = 0
; Specified here to create the session id.
session.entropy_file =
;session.entropy_length = 16
;session.entropy_file = /dev/urandom
; Set to {nocache,private,public,} to determine HTTP caching aspects
; or leave this empty to avoid sending anti-caching headers.
session.cache_limiter = nocache
; Document expires after n minutes.
session.cache_expire = 180
; trans sid support is disabled by default.
; Use of trans sid may risk your users security.
; Use this option with caution.
; - User may send URL contains active session ID
; to other person via. email/irc/etc.
; - URL that contains active session ID may be stored
; in publically accessible computer.
; - User may access your site with the same session ID
; always using URL stored in browser's history or bookmarks.
session.use_trans_sid = 0
; Select a hash function
; 0: MD5 (128 bits)
; 1: SHA-1 (160 bits)
session.hash_function = 0
; Define how many bits are stored in each character when converting
; the binary hash data to something readable.
;
; 4 bits: 0-9, a-f
; 5 bits: 0-9, a-v
; 6 bits: 0-9, a-z, A-Z, "-", ","
session.hash_bits_per_character = 5
; The URL rewriter will look for URLs in a defined set of HTML tags.
; form/fieldset are special; if you include them here, the rewriter will
; add a hidden <input> field with the info which is otherwise appended
; to URLs. If you want XHTML conformity, remove the form entry.
; Note that all valid entries require a "=", even if no value follows.
url_rewriter.tags = "a=href,area=href,frame=src,input=src,form=fakeentry"
Gewijzigd op 01/01/1970 01:00:00 door Pim
Ook zou ik van regel 18 een elseif maken. Nu kijk je of er wordt ingelogd, maar onafhankelijk daarvan kijk je ook of er een sessie is. Beetje dubbelop in het geval dat er iemand handmatig inlogt.
En $PHP_SELF is verouderd, en bestaat niet altijd meer. Probeer eens $_SERVER['PHP_SELF']. Gewoon het action attribuut leeg laten zou ook prima moeten werken overigens. De browser pakt dan vanzelf wel de huidige URL.
Waar komt $naam vandaan? Regel 14 eerste script.
Idem $wachtwoord op regel 15.
Regel 18 => '$wachtwoord'?
Regel 20 => $PHP_SELF? => $_SERVER['PHP_SELF']
Doe de echo's met enkele quotes dan hoef je de html-quotes niet te escapen. $Vars altijd buiten de quotes houde.
echo "<form method=\"post\" action=\"$PHP_SELF\">\n";
wordt dan
echo '<form method="post" action="' . $SERVER['PHP_SELF'] . '">' . "\n"; // \n moet altijd tussen dubbele quotes.
je advies opgevolgd, en het werkt nu.
Het ligt vooral aan de regel 28, de 'if' verandert in 'elseif'. ik kon dus gewoon niet handmatig inloggen.
Reuze bedankt voor je hulp, daar krijg ik weer een opkikker van!!!!
groetjes, Pim
dank voor je reactie,
het boekje waaruit ik studeer heet 'Leer jezelf professioneel werken met ..> PHP5MySQL, zoals ik heb vermeld op de boekenpagina van deze site.
Het beekje dateert van okt. 2005 (volgens de ondersteunende site: www.leer-php.nl), maar in het boekje zelf staat 2006.
Frapant dat jij en Jelmer er kleine foutjes uithalen, want de auteur werkt (volgens zijn site) bij Eduvision als PHP docent en dan verwacht je toch foutloze en actuele code.
Zeker jullie opmerkingen t.a.v. het gebruik van $_SERVER['PHP_SELF] i.p.v. $PHP_SELF en het escapen van de html-quotes.
Je vraagt waar in regel 14/15 de $naam en $wachtwoord vandaan komen? Ik neem aan dat je bedoelt dat die eigenlijk eerst zou moeten worden gedefiniëerd, met zo iets als:
$naam='Pim';
$wachtwoord='pass120';
, maar ik ging ervan uit dat de auteur het voldoende vond dat ze in regel 4 (function) zijn ondergebracht (of dat ze in een apart aanmeldscript zouden staan (maar dat staat niet in het boekje erbij vermeld)).
Wat vind je ervan?
groet Pim
'Pim:
Frapant dat jij en Jelmer er kleine foutjes uithalen, want de auteur werkt (volgens zijn site) bij Eduvision als PHP docent en dan verwacht je toch foutloze en actuele code.
Zeker jullie opmerkingen t.a.v. het gebruik van $_SERVER['PHP_SELF] i.p.v. $PHP_SELF en het escapen van de html-quotes.
Zeker jullie opmerkingen t.a.v. het gebruik van $_SERVER['PHP_SELF] i.p.v. $PHP_SELF en het escapen van de html-quotes.
Jelmer en SanThe zijn dan ook steengoed he ;-)
Boeken van twee jaar oud kun je vaak beter niet meer helemaal vertrouwen. PHP is een taal in ontwikkeling en om bij te blijven zit je op dit forum wel op de goede plek.
'GaMer13:
Zet maar eens error reporting aan, dan zul je notices krijgen van jouw undefined variabelen.
Code (php)
1
2
3
4
5
6
2
3
4
5
6
<?php
ini_set('display_errors', 1);
error_reporting(E_ALL | E_STRICT);
// rest van je script
?>
ini_set('display_errors', 1);
error_reporting(E_ALL | E_STRICT);
// rest van je script
?>
Zodra je de website online zet, verander je de 1 in een 0 en bezoekers kunnen onmogelijk foutmeldingen op het scherm krijgen. Dat wil je niet i.v.m. beveiliging.
Uiteraard heb je een eigen error-handler die fouten wegschrijft in een logboek. Dan kun je later nog eens oplossen.
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
<?php
$valid_passwords = array ("mario" => "carbonell");
$valid_users = array_keys($valid_passwords);
$user = $_SERVER['PHP_AUTH_USER'];
$pass = $_SERVER['PHP_AUTH_PW'];
$validated = (in_array($user, $valid_users)) && ($pass == $valid_passwords[$user]);
if (!$validated) {
header('WWW-Authenticate: Basic realm="My Realm"');
header('HTTP/1.0 401 Unauthorized');
die ("Not authorized");
}
// If arrives here, is a valid user.
echo "<p>Welcome $user.</p>";
echo "<p>Congratulation, you are into the system.</p>";
?>
$valid_passwords = array ("mario" => "carbonell");
$valid_users = array_keys($valid_passwords);
$user = $_SERVER['PHP_AUTH_USER'];
$pass = $_SERVER['PHP_AUTH_PW'];
$validated = (in_array($user, $valid_users)) && ($pass == $valid_passwords[$user]);
if (!$validated) {
header('WWW-Authenticate: Basic realm="My Realm"');
header('HTTP/1.0 401 Unauthorized');
die ("Not authorized");
}
// If arrives here, is a valid user.
echo "<p>Welcome $user.</p>";
echo "<p>Congratulation, you are into the system.</p>";
?>
je kan natuurlijk ook error_reporting(1); gebruiken, dan geldt het alleen voor die ene pagina
'timmy:
En waar zou dat handig voor zijn? Kun je later tientallen scripts gaan aanpassen wanneer je de site online zet.@pgfrank
je kan natuurlijk ook error_reporting(1); gebruiken, dan geldt het alleen voor die ene pagina
je kan natuurlijk ook error_reporting(1); gebruiken, dan geldt het alleen voor die ene pagina
Zet de instellingen in een config_file die je overal include en je hebt het voor de complete site in 1 keer goed ingesteld.
Global variable $naam was used before it was defined (line 14)
Global variable $wachtwoord was used before it was defined (line 15)
Global variable $SERVER was used before it was defined (line 21)
Moet ik die variabelen dan eerst als volgt benoemen?
Quote:
San The vraagt waar in regel 14/15 de $naam en $wachtwoord vandaan komen? Ik neem aan dat je bedoelt dat die eigenlijk eerst zou moeten worden gedefiniëerd, met zo iets als:
$naam='Pim';
$wachtwoord='pass120';
, maar ik ging ervan uit dat de auteur het voldoende vond dat ze in regel 4 (function) zijn ondergebracht (of dat ze in een apart aanmeldscript zouden staan (maar dat staat niet in het boekje erbij vermeld)).
$naam='Pim';
$wachtwoord='pass120';
, maar ik ging ervan uit dat de auteur het voldoende vond dat ze in regel 4 (function) zijn ondergebracht (of dat ze in een apart aanmeldscript zouden staan (maar dat staat niet in het boekje erbij vermeld)).
@Arjan,
tja, da's natuurlijk wel een heel mooi alternatief script, en zoals het er staat kan ik het ook nog wel volgen, maar 't is nog wel moeilijk voor mij.
Waarom gebruik je trouwens in zo'n goed script de md5 coderingsmethode niet?
Je zou in plaats van $naam en $wachtwoord (r. 14 & 15) $_POST['naam'] en $_POST['wachtwoord'] moeten gebruiken. In oudere versies van PHP was het normaal dat waneer je een script aanriep middels bijvoorbeeld script.php?naam=jelmer binnen het script $naam automatisch de waarde jelmer kreeg. register_globals heette dat, en je zal het (helaas) in veel scripts nog gebruikt zien worden. Maar dat is er sinds versie 5 dus officieel uit, al kan je het nog wel aan zetten.
Nu moet je daadwerkelijk zeggen waar de variabele vandaan komt. De waarden van een formulier dat method post gebruikt zullen dus in de array $_POST komen, en method get (en dat voorbeeldje dat ik net gaf met script.php) vult $_GET. $_POST en $_GET kan je overal gebruiken binnen het script.
Korte antwoord:
Regel 14 & 15 moeten worden:
Code (php)
1
2
3
4
2
3
4
<?php
$_SESSION['naam'] = $_POST['naam'];
$_SESSION['wachtwoord'] = md5($_POST['wachtwoord']);
?>
$_SESSION['naam'] = $_POST['naam'];
$_SESSION['wachtwoord'] = md5($_POST['wachtwoord']);
?>
Mocht iemand toch ftp-toegang hebben gekregen, dan heeft beveiliging dusdanig gekraakt dat een md5 ook niet meer uitmaakt.
Wanneer je wachtwoorden in een database wilt opslaan, dan sla je alleen de hash (md5 of sha1) op. In dat geval heeft dat toegevoegde waarde, je kunt honderden tot duizenden gebruikers hebben, maar voor een handjevol hardcoded users heeft een hash geen toegevoegde waarde.
groet, Pim
De foutmelding dat in de regels 14 en 15 undefined variables (naam en wachtwoord) voorkomen is weg, maar nu levert debuggen de opmerking op dat in regel 20 naam en wachtwoord als undefined index voorkomen.
Wat is in dit verband een index en hoe zorg ik ervoor dat die dan defined worden. Verder werkt het script wel. dus ik vraag me af, pas ik dit nu aan om geheel foutloze code te krijgen, of nuttigt deze aanpassing een doel?
Dat geldt ook voor de foutmelding dat in regel 23 Server voorkomt als undefined variabel.
groetjes, Pim
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
<?php
ini_set('display_errors', 1); //error reporting
error_reporting(E_ALL | E_STRICT);
session_start();
function controle($naam, $wachtwoord) {
if ($naam !="Pim" || $wachtwoord !=md5("pass100")) {
return false;
} else {
return true;
}
}
//check naam en wachtwoord
if (isset($_POST["verzonden"]) && controle($_POST["naam"], md5($_POST["wachtwoord"]))==true) {
$_SESSION['naam'] = $_POST['naam'];
$_SESSION['wachtwoord'] = md5($_POST['wachtwoord']);
}
elseif (controle($_SESSION['naam'],$_SESSION['wachtwoord'])==false) {
//naam en/of wachtwoord is fout
// echo "<form method=\"post\" action=\"$PHP_SELF\">\n";
echo '<form method="post" action="' . $SERVER['PHP_SELF'] . '">' . "\n";
echo "Naam: ";
echo "<input type=\"text\" name=\"naam\">";
echo "<br>";
echo "Wachtwoord: ";
echo "<input type=\"password\" name=\"wachtwoord\">";
echo "<br>";
echo "<input type=\"submit\" value=\"verzenden\" name=\"verzonden\">";
echo "</form>";
exit;
}
?>
[\code]
ini_set('display_errors', 1); //error reporting
error_reporting(E_ALL | E_STRICT);
session_start();
function controle($naam, $wachtwoord) {
if ($naam !="Pim" || $wachtwoord !=md5("pass100")) {
return false;
} else {
return true;
}
}
//check naam en wachtwoord
if (isset($_POST["verzonden"]) && controle($_POST["naam"], md5($_POST["wachtwoord"]))==true) {
$_SESSION['naam'] = $_POST['naam'];
$_SESSION['wachtwoord'] = md5($_POST['wachtwoord']);
}
elseif (controle($_SESSION['naam'],$_SESSION['wachtwoord'])==false) {
//naam en/of wachtwoord is fout
// echo "<form method=\"post\" action=\"$PHP_SELF\">\n";
echo '<form method="post" action="' . $SERVER['PHP_SELF'] . '">' . "\n";
echo "Naam: ";
echo "<input type=\"text\" name=\"naam\">";
echo "<br>";
echo "Wachtwoord: ";
echo "<input type=\"password\" name=\"wachtwoord\">";
echo "<br>";
echo "<input type=\"submit\" value=\"verzenden\" name=\"verzonden\">";
echo "</form>";
exit;
}
?>
[\code]
Het is naar mijn idee ook informatie die totaal niet nodig is in een sessie. Je kan beter op de pagina's waar je dit nodig denkt te hebben (bijvoorbeeld bij het aanpassen van je wachtwoord) gewoon dit wachtwoord weer even opnieuw uit de database halen en dan vergelijken.
Gewoon even een tip!
Groeten!
jij hebt percies een zwaarder boek dan mij
http://www.phphulp.nl/php/boeken/61/
Stonden ook kleine hele kleine foutjes in :p
Verder kan ik je niet echt helpen tenzij ik het code even overtyp op kopieer van de site..
mvg
in alle 15 studieboeken (HTML, CSS, PHP, Javascript, Flash, etc) die ik heb, blijken foutjes te staan en/of code die achterhaalt is, voorbeelden die incompleet zijn, of die verkeerd uit een andertalig boek zijn overgenomen of zijn vertaald.
Met het kopen heb ik goed opgelet, echt actuele boeken gekocht, maar de meesten, zo niet allemaal, zijn niet foutloos. Sommigen zijn echt slecht, anderen veel beter, zoals het boek wat ik nu bestudeer.
Het boekje is een soort cursus, en bevalt eigenlijk prima.
Verder gebruik ik (tevreden) 'Het complet handboek PHP5 & MySQL van Academic Service, maar da's meer een heel dik naslagwerk. Ook niet gek is het boek 'Dynamische websites met PHP'van Easy Computing, ook meer een naslagwerk, daarin wordt goed uitleg gegeven.
Welterusten, Pim
Regel 23 is gewoon een typfout. $SERVER['PHP_SELF'] moet zijn: $_SERVER['PHP_SELF'] (met underscore).
Edit: Typo.
Gewijzigd op 01/01/1970 01:00:00 door - SanThe -
ik snap dat ik met isset moet controleren of $_SESSION['naam'] en $_SESSION['wachtwoord'] bestaan.
Ik heb al vele pogingen ondernomen om deze controle in te bouwen, maar ik weet niet precies hoe.
Kan/moet deze isset-check nu samen in 1 regel met 'elseif (controle($_SESSION['naam'],$_SESSION['wachtwoord'])==false)
of moet het in 2 stappen.
Zelf heb ik onderstaande bedacht (afwikkeling in 1 regel), dat geeft een foutloze debugging (ik ff blij), alleen krijg ik dan nooit een inlogscherm te zien, maar ben je altijd automatisch ingelogd (niet meer blij).
Kun je me nog eens op weg helpen. Ik begrijp kennelijk de logica onvoldoende. Die leer ik kennelijk niet uit de boeken, maar van vele uren proberen.
groet, Pim
Code (php)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
<?php
ini_set('display_errors', 1); //error reporting
error_reporting(E_ALL | E_STRICT);
session_start();
function controle($naam, $wachtwoord) {
if ($naam !="Pim" || $wachtwoord !=md5("pass102")) {
return false;
} else {
return true;
}
}
//check naam en wachtwoord
if (isset($_POST["verzonden"]) && controle($_POST["naam"], md5($_POST["wachtwoord"]))==true) {
$_SESSION['naam'] = $_POST['naam'];
$_SESSION['wachtwoord'] = md5($_POST['wachtwoord']);
}
elseif (controle($_SESSION['naam'],$_SESSION['wachtwoord'])==false) {
//naam en/of wachtwoord is fout
// echo "<form method=\"post\" action=\"$PHP_SELF\">\n";
echo '<form method="post" action="' . $_SERVER['PHP_SELF'] . '">' . "\n";
echo "Naam: ";
echo "<input type=\"text\" name=\"naam\">";
echo "<br>";
echo "Wachtwoord: ";
echo "<input type=\"password\" name=\"wachtwoord\">";
echo "<br>";
echo "<input type=\"submit\" value=\"verzenden\" name=\"verzonden\">";
echo "</form>";
exit;
}
?>
ini_set('display_errors', 1); //error reporting
error_reporting(E_ALL | E_STRICT);
session_start();
function controle($naam, $wachtwoord) {
if ($naam !="Pim" || $wachtwoord !=md5("pass102")) {
return false;
} else {
return true;
}
}
//check naam en wachtwoord
if (isset($_POST["verzonden"]) && controle($_POST["naam"], md5($_POST["wachtwoord"]))==true) {
$_SESSION['naam'] = $_POST['naam'];
$_SESSION['wachtwoord'] = md5($_POST['wachtwoord']);
}
elseif (controle($_SESSION['naam'],$_SESSION['wachtwoord'])==false) {
//naam en/of wachtwoord is fout
// echo "<form method=\"post\" action=\"$PHP_SELF\">\n";
echo '<form method="post" action="' . $_SERVER['PHP_SELF'] . '">' . "\n";
echo "Naam: ";
echo "<input type=\"text\" name=\"naam\">";
echo "<br>";
echo "Wachtwoord: ";
echo "<input type=\"password\" name=\"wachtwoord\">";
echo "<br>";
echo "<input type=\"submit\" value=\"verzenden\" name=\"verzonden\">";
echo "</form>";
exit;
}
?>