Php varen login

v sejo hraniš array('id'=>$user_id, 'password'=>$password_hash);
v cookie hraniš json_encode(array('id'=>$user_id, 'password'=>$password_hash));

Jojme. Uporabniku (v kukiju) nikakor ne vračaš nobenih njegovih podatkov (niti reverzibilno kodiranih), kaj šele takih, ki v enaki obliki (user_id) obstajajo tudi v bazi.

Precej boš naredil že, če boš na strani (tudi login!) uporabljal SSL. Če to ni možno, pa si poglej, kako typo3 za login uporablja rsaauth in saltedpasswords - da že od klienta do serverja ne potujejo plain-text podatki.

Kak lahko podaljšaš session-u, če se pa session kreira na serveru?

technolog je 14. mar 2012 ob 09:03 izjavil:

"Zapomni si me" narediš tako, da podaljšaš čas poteka session piškotku na recimo cirka eno leto.

lahko poveš kaj več informacij glede podaljšanja session cookie-ja? sem na hitro poskusil narediti en test glede tega, pa me odjavi ko zaprem/odprem browser.

drugače pa trenutno izvajam "remember me" tako, da za uporabnika ki zeli to funkcijo, generiram unique string, ga zapisem v bazo in v cookie in kasneje primerjam ta dva podatka. kot dodatno zaščito (v bistvu nevem če kaj pomaga :/ ) ob vsaki autologin prijavi zamenjam ta uniqe string.

lp

Ziga Dolhar je 14. mar 2012 ob 15:53 izjavil:

php session timeout

jep, sem se igral s tem, vendar mi nekako ne uspe :(

http://hungred.com/useful-information/p...

Tako se to dela...

Isto kot če bi imel navaden POST, ne vem kaj misliš? :)

Ne, mislil, sem skripto, ki ti javi, če nekdo vpiše napačne podatke, pri pravilnih pa te logina. V ajaxu sem novi pa se lovim.
Nekaj v TEM smislu. Jaz sicer ne uspem usposobit zadeve na moji strani. Gumb prijava ne trza.

Volk| je 17. mar 2012 ob 08:23 izjavil:

Ne, mislil, sem skripto, ki ti javi, če nekdo vpiše napačne podatke, pri pravilnih pa te logina. V ajaxu sem novi pa se lovim.
Nekaj v TEM smislu. Jaz sicer ne uspem usposobit zadeve na moji strani. Gumb prijava ne trza.

Z jquery-jem bi zgledalo nekako takole.

//index.php
<script type="text/javascript">

	$(document).ready(function(){
		$('#submitLogin').click(function(e){
			e.preventDefault();
			
			$.ajax({
				type: "POST",
				url: "ajax/check-login.php",
				data: $('#loginForm').serialize(),
				dataType: "xml";
				success: function( xml ){
					if ($('stat', xml) == 'login_ok'){
						location.href = 'prijava_ok.php';
					} else {
						location.href = 'prijava_not_ok.php';
					}
				}
			});
			
		});
	});

</script>

<form action="" method="post" id="loginForm">
	<input type="text" name="loginName" />
	<input type="password" name="loginPassw" />
	<input type="submit" name="submit" id="submitLogin" value="Prijava" />
</form>


// ajax/check-login.php
$stat = ($_POST['loginName'] == 'admin' && $_POST['loginPassw'] == '1234') ? 'login_ok' : 'login_failed';
<xml><stat>'.$stat.'</stat></xml>

edit: kode nisem testiral, tako da jo beri bolj kot pseudo kodo, ampak če ni kakekga typo-ta bi načeloma morala delovati.

AJAX = Asynchronous JavaScript and XML

v bistvu z ajaxom kličeš neko stran/skripto in njen rezultat vrines v naloženo stran.

v zgornjem primeru bi recimo ob uspešnem loginu zamenjal obrazec za prijavo z podatki o prijavljenem uporabniku, seveda mores v xml dodati se tag user

                    if ($('stat', xml) == 'login_ok'){
                        $('#loginForm').innerHTML( 'Pozdravljen ' + $('user', xml).text() );
                    } else {
                        alert('login failed');
                    }

lahko pa tudi vrnes html in vrines vse kaj ajax klic vrne. poglej docs.jquery.com za vse možnosti