Administrator spletne strani - login sistem

imaš statično html stran, cms ali kaj drugega?

NAredi povezavo na Google calendar .

In izpisuj določene statuse...

eric_cartman je 28. okt 2017 ob 12:05 izjavil:

Sem si pogledal. :) Ideja, če bi se šlo za mlade je super, ker se bi znašli. Delam pa stran, ki mora biti zelo pregledna in enostavna, ker bodo gor hodili kvečjemu starejši/stari. Torej ne koledar podatkov pač pa en podatek ali 2, ki sta dobro razvidna.

Potem pa vprašanje. Je verjetno najboljše, da v PHPju že vnaprej nastavim geslo/hash in uporabnika. Potem pa bi naredil login page, pri katerem bi samo primerjal hash-e in če se ujemata, te spusti naprej. Če imam prav se tako izognem bazam. Potem pa nastavim, da se token izteče po 1 uri.

Za naprej bi pa to reševal lahko mogoče s PHP include-om? Da se okno prikaže na front endu v kolikor je nekaj vpisano kot obvestilo, sicer okna ni.

Bi to bilo vredu? Ali je tukaj kakšna slabost v tem planu? Hvala za pomoč.

Ja... en kup slabosti.

Težko dobit koristno informacijo na tem forumu, ne?
Se nisem nikoli v to na veliko poglabljal ampak:

Tvoja rešitev se mi zdi čist v redu.
Če se hočeš izognit bazam zapisuješ obvestila v html fajle, ki jih potem vključiš s php kodo, paziš, da samo vključi fajl ne tudi executa php kode. Da ne bi uporabnik slučajno napisal kakšne php kode npr ki loopa neskončno.
user:pass pa zapišeš v backend kodo in jo poveš tvojemu naročniku.
če se bojiš da bo nekdo dobil dostop do tvoje backend kode (ne vem zakaj bi) tja not daš hash namesto gesla, iz hasha ne moreš dobiti original gesla.
ampak samo za mala obvestila spreminjat te to ne bi smelo skrbet.
delat hash na clientu pa ni potrebno če imaš https.
če ga nimaš potem na baje sploh ni možno preprečit da bi nekdo tretji se logiral. snifa traffic pa se prijavi s tvojim hashed geslom. v glavnem to ni tako enostavno. sej zato pa so cms najboljša izbira takoj ko rabiš login sistem, da ti ni treba izumljat tople vode.
https://www.w3schools.in/php-script/php...

kuall je 29. okt 2017 ob 12:13 izjavil:

... iz hasha ne moreš dobiti original gesla ...

No ja, če se uporabi slaba hash funkcija (npr. md5), potem to sploh ni več težko.

kuall je 29. okt 2017 ob 12:13 izjavil:

... delat hash na clientu pa ni potrebno če imaš https ...

Lahko prosim razložiš, kaj konkretno si mislil s tem?

... geslo pretvoriš v hash z javascriptom

Če uporabnik nima vključenega JS, se ne bo mogel prijaviti. Bad UX.
Sicer pa ... v čem je razlika? V obeh primerih boš poslal nekaj do strežnika. Če nekdo prestreže nekaj, to še vedno lahko znova pošlje do strežnika (in ker tvoj strežnik ne pričakuje več gesla, ampak hash, bo pač primerjal hasha in ker bosta enaka, bo rekel, aha, ok, to je pravi uporabnik).

kuall je 29. okt 2017 ob 15:20 izjavil:

a nismo že zdavnaj nehal podpirat uporabnike brez js?

Odvisno, kdo so tvoje stranke in kaj delaš.

Skratka. Uporabiš https, certifikat lahko dobiš tudi brezplačno (Let's encrypt), za dostop do npr. ene php datoteke / direktorija, ki bo skrbel za urejavalnik, pa se lahko uporabi tudi to, kar že po defaultu ponuja npr. Apache. (in ni treba nič izumljati na novo).