Vurdering af login script.

Hej.

Jeg er forholdsvis ny inden for emnet, så derfor beder jeg jer vurdere mit lille login system jeg har lavet til en personlig side.

Jeg har først og fremmest en form, som beder om brugernavn og adgangskode:

login.php:

Kode 

<h1>Login</h1>
<p>Indtast dit personlige brugernavn og din adgangskode for at logge ind.</p>
<form action="scr/scr_login.php" method="post">
<p>Brugernavn:</p>
<p><input type="text" name="username"/></p>
<p>Adgangskode:</p>
<p><input type="password" name="password"/></p>
<p><input type="submit" name="submit" value="Login" class="submit"/></p>
</form>

Som I kan se sender den brugeren videre til scr_login.php som indeholder selve koden bag formularen.
scr_login.php forbinder sig til en mysql database og sammenligner det indtastede brugernavn og pass med dem som er i mysql tabellen.
Viser det sig at de indtastede informationer stemmer med en af dem i tabellen, sender den brugeren videre til siden auth. Passer de ikke, sender den brugeren videre til login_fejl siden som indeholder en fejl meddelelse samt en ny formular.

scr_login.php:

Kode 

<?php
	// Skab forbindelse til mysql servern og vælg database:
	$conn = mysql_connect(localhost,xx,xx)
		or die('Kunne ikke forbinde til MySQL serveren: '.mysql_error());
	mysql_select_db("firmwire_dk");
	
	// Opbyg og udsted forespørgsel:
	$sql = "SELECT fullN FROM users WHERE userN = '$_POST[username]' AND userP = password('$_POST[password]')";
	$result = mysql_query($sql,$conn) or die('Der opstod en fejl: '.mysql_error());
	if(mysql_num_rows($result) == 1) {
		session_start();
		$_SESSION[user] = $_POST[username];
		header("Location: ../index.php?page=auth");
	} else {
		header("Location: ../index.php?page=login_fejl");
	}
?>

auth:

Kode 

<?php
	if(isset($_SESSION[user])) {
		echo "Du er logget ind som: ".$_SESSION[user];
	} else {
		echo "Du er ikke logget ind.";
	}
?>

Note: sessionen starter [session_start();] på en anden side hvor auth er inkluderet.

login_fejl:

Kode 

<h1>Login</h1>
<p>Indtast dit personlige brugernavn og din adgangskode for at logge ind.</p>

<p class="fejl">* Du indtastede et forkert brugernavn eller adgangskode.</p>
<p>Prøv igen:</p>
<form action="scr/scr_login.php" method="post">
	<p>Brugernavn:</p>
	<p><input type="text" name="username"/></p>
	<p>Adgangskode:</p>
	<p><input type="password" name="password"/></p>
	<p><input type="submit" name="submit" value="Login" class="submit"/></p>
</form>

Ikke så relavant for systemet, men nu har i den


Jeg håber jeg har givet nok information til i kan vurdere det. Måske der er noget som kan gøres smartere eller mere sikkert?
Hele systemet virker som det skal.

[Redigeret d. 17/09-05 00:33:10 af Tommy Jakobsen]

[Redigeret d. 17/09-05 00:34:42 af Tommy Jakobsen]

desuden bør du altid bruge addslashes() når du smider brugerinput ind i en databaseforespørgsel

Jeg er ikke helt sikker på jeg forstår hvad det er du mener og kan ikke rigtig se logikken i det.

Kode 

SELECT fullN FROM users WHERE userN = 'Bruger' AND userP = password('') or password('') = password('')