oop+php+sessions

Torej rad bi na OOP način nardil logiranje na pejđ in s tem tudi security kdo ima dostop do določene strani in kdo ne.

To logiranje na pejđ sem imel že poprej zastvaljeno, toda se bojim morebitnih "vpadov" zaradi lukenj v kodi (tisto v zvezi z ...neki.php?userid=hehe.... Zato mi je xbite v enem od starejših tem predlagal, da bi zato uporabil objekte. Sicer je tudi možnost, da uporabim neko dolgo ime za spremenjlivko, toda tisto se mi zdi preveč lame..

In sedaj jaz razmišljam na papirju in v glavi in v UltraEditu, objekt, ki bi preveril vnešeno geslo in password in ter dobil iz baze status tega userja. Ta status odloča kaj bo kateremu userju dostopno in vidno (recimo če je status 1 izpiši to, če ni pa to..). V oop sem še malo nov. Sicer pa sem opazil, da je to res ena kul stvarca... Zanima me torej če je kdo na netu zasledil kakšen članek v zvezi s tem? Z securtiyem in oop.
Neki sem isku po PHPBuiderju, DevShedu, Webmasterbaseu in po Manualu.. toda kaj točnega v zvezi s tem ni.
Težava je bila namreč v tem, ker ne vem in se ne znam predstavljat kam na potem vtaknem session_register("uid"? Sem mislu, da bom kr pod return session_register... sam iz tega ni blo muzke (headers allready send..).

Thanks bom prežveču vse tole...

Konstruktor je funkcija v razredu k ima enako ime kot razred sam. Izvrši se pa takoj ko kreiramo razred.

Isto kot pri normalnih funkcijal lahko tudi iz nekega razreda kličeš, includaš requiraš bilo kaj....

ma kaj komliciraš.. ve kar si prej lahko delou lahko delaš tudi z objekti, le rokovanje s podatki in funkcijami je malo drugačno.... vse ampak res vse ti piše v manualu in na phpbuilder.com

Ma no sej v bistvu... ni treba več... sem neki zgrunto:
In to je to:
if($subOdjava) { //če je kliknu na gumb za Odjavit
session_destroy();
$form = "..form za prijavo na stran..."
}

elseif($uid AND $pwd) {
session_register("uid");
session_register("pwd");
$neki = new Prijava($uid,$pwd);
$form = "vi ste $neki->Dovoljenje();" in gumb za odjavit.
}
else {
$form = "..form za prijavo na stran...";
}

v classu pa se vse skup previ in se še registrira status... tak da na koncu ni več tise admin=hacked fore..ž
Juhu! Kako bi se pa ti xbite tega lotu?

maš spet samogovore a ?


hm... kako se jest tega lotim... ehm... tako.. da dela pol ane 8-)


evo.. tukej je en majhen delček moje authorization skripte... majhen pa zato, ker pod nobenim pogojem ne mislm svoje kode zastonj talat... mogoče če dobim za ki$to pira >:D

 class auth
 {
 var $userID = null;
 var $username = null;
 var $sessionID = null;
 var $error = null;
 
 function auth()
 {
 /*
 * bool auth()
 *
 * auth class constructor
 *
 */
 
 global $REQUEST_METHOD, $HTTP_POST_VARS, $HTTP_GET_VARS, $HTTP_COOKIE_VARS;
 
 if ( $REQUEST_METHOD == 'GET' && $HTTP_GET_VARS['logout'] )
 {
 if ( $this->logout() )
 {
 if ( defined('LOGIN_GOTO_AFTER_LOGOUT') )
 header( 'Location: '.LOGIN_GOTO_AFTER_LOGOUT );
 
 return true;
 }
 }
 else
 {
 if ( $REQUEST_METHOD == 'POST' && $HTTP_POST_VARS['formID'] == 'login' )
 {
 if ( $this->verify_form_login() )
 {
 if ( defined('LOGIN_GOTO_AFTER_LOGIN') )
 header( 'Location: '.LOGIN_GOTO_AFTER_LOGIN );
 
 return true;
 }
 }
 elseif ( $HTTP_COOKIE_VARS['sessionID'] )
 return $this->verify_cookie_login();
 }
 }
 }
 
 
 

zdj pa še obrazložitev...

tole je en majhen class, ki ga pokličeš tako kot vsakega drugega, torej:
$auth = new auth();
kaj se zgodi ?
najprej se vse vrednosti nastavijo na null, da nebi prišlo do kakšne pomote ;) potem pa zbudimo funkcijo auth(), ki je ob enem tudi konstrutor razreda, to pomeni da se zažene ko zbudimo razred.

z global, pogledam predefinirane spremenjivke, kot so request_method, http_post_vars, http_get_vars in http_cookie_vars.

Zdej pa glavni hec...najprej pogledam če se uporabnik hoče odlogirat... to lahko doseže z urljem stran.php?logoff=whatsoever. Če je temu tako, potem pokličem funkcijo tega razreda, ki se kliče logout() (d0h)... za tem maš še nekaj manjših bombončkov s katerimi redirectaš userja ne neko drugo stran po vspešnem logofu ipd...

Torej.. če se ni odlogiral, se verjetno hoče logirat oziroma so podatki o prijavi že shranjeni pri njemu...

tooooorej:
1. če je request method enak "POST", kar pomeni da so podatki na stran bli poslani s forme z metodo POST in če ima forma vrednost formID enako "login", potem uporabnika prijavimo... s tem mislim sledeče: preverjanje vnešenih podatkov, generiranje sessionID ključa če ga še ni, nastavljanje cookijev in shranjevanje podatkov o prijavi. Tukaj lahko pride na vrsto še zapis napačne prijave in preprečevanje prijave uporabniku za določen čas če je število nepravilnih prijav preveliko ipd ipd... ampak pustimo to za drugič... če funkcija izvede vse lepo in prav, če so podatki pravilni in cookiji poslani, se nastavijo vrednosti kot so $userID, $sessionID, $username... Torej vrednosti ki jih potrebuješ v nadalnjem izvajanju skripte in do njih dostopaš takole: $auth->userID ali $auth->username...

2. če ni podatkov o prijavi skozi obrazec, obstajajo pa cookiji. Cookie pri meni sestavlja 255 znakov dolg kluč - sessionID, od tega je zadnjih nekaj znakov namenjenih datumu prijave. Torej je ta ključ skoraj nemogoče ugotoviti.. mogoče kak brute force checking ipd (security ni še popoln, ampak delam na tem). Pokličemo funkcijo verify_cookie_login(), ki preveri verodostojnost podatkov in nastavi vrednosti opisane že v prvi točki.

tole bo tud vse... poglej cahahopie... mislm da bi tudi dete tole pravlico razumelo, ker sm se res potrudu in razložu vse... mislm da bi mi lahko dal edn nobelovo za takole lepo razlaganje...torej... bolj da kapiraš... >:D

Žal... mi ful brejka v glavi....:D
Povej mi mau zadevc še...
Glej v ti podatki so morali torej bi od nekod poslani, a ne?
Torej tam rabim en pogojni stavek (if) ki bo enkrat izpisal formo z post metodo in enkrat z get metodo. Ker sam raje ne bom ekspirimentiral (bo računalnik naredu harikiri) mi ti mau pomagi s tem.

Potem me še zanima kaj si mislil ravno s tem...
>>se nastavijo vrednosti kot so $userID, $sessionID, $username...
Kam se nastavijo? Reku si da so cookiji poslani.. zato, zakaj to?
in tole še razlož:
>>Torej te vrednosti, ki jih potrebuješ v nadaljnem izvajanju skripte in do njih dostopaš takole: $auth->userID ali $auth->username...

To je vse kar me zanima. Prosim te lepo, daj še nato odgovor, ker pač nisem tok pameten (mam bolj razvito levo polovico možganov). In res sem cel dan prebedel ob tej tvoji kodi... in tuhtal, gruntal, premetval, ehh... ni za govorit. Res te prosm...

Ne sj ni bistvo v tem... sam glej, teb so nekatere stvari v zvezi s tem tako samoumevne, da ko jaz kaj tako, teb samumevnega, vprašam, misliš da sem res tako zateleban..
Ee.. pa še nekaj, v Manualu tudi marsikatere stvar ne piše ali pa zelo površno tako, da morš še na ducat drugih pejđih iskat odgovore..
V bistvu morš na php štartat, ko imaš popolno znanje o html. Jaz pa priznam, da vse nisem mel pošlihtan (v te forme se nikol prej nism spuščo, ko še nism delu tega kar zdaj delam).
No...hvala...za pomoč...