aiuto login

aiuto login postato il 31/03/2009 20:17:41 nel forum programmazione, gdrcd, open source, hosting

Alura dopo aver finito la registrazione sono passato a fare il login.
Ho messo un pagina di controllo,se i dati sono giusti manda direttamente alla pagina game.php in caso contrario da errore e fin qui tutto Ok.Per vedere se avevo fatto giusto nella pagina game.php ho messo un controllo sulla sessione se non si passa prima dal login da errore in caso contrario stampa ciao.
Il problema è che all'inizio funziona(se provo ad accedere direttamente alla pagina game.php mi da errore e devo passare prima dal login),se invece faccio il login(corretto) mi accede alla pagina game.php(e fin qua è corretto) se poi chiudo tutto e provo ad accedere direttamente alla pagina game.php non mi da nessun errore ma mi stampa normalmente ciao.In pratica basta che accedo una volta dal login (anche se faccio il login errato mi da questo errore l'importante è che faccia il login e l'errore mi compare) e mi fa accedere direttamente a game.php senza bisogno di fare il login, ora posto il codice.

Questo è la pagina di controllo

<?

include ("inc/config.inc.php");
session_start();
//ci si connette al db
$connection = mysql_connect("$db_host", "$db_user", "$db_password")
or die ("Errore nella connessione. ");
$db=mysql_select_db("$db_name",$connection)
or die("errore nella connessione");

//si recuperano i campi dai form
$nome=htmlentities($_POST['input']);
$pass=htmlentities($_POST['pass']);

//si controlla se i campi sono vuoti
if(trim($nome) == "" || trim($pass) == "" ){ exit(" completare i campi");}

//imposto le variabili di sessione
$_SESSION['nome1']="$nome";
$_SESSION['pass1']="$pass";

//si controlla se l'utente è presente
$result = mysql_fetch_row(mysql_query("SELECT Nome, Pass FROM Personaggio WHERE Nome = '$nome' OR Pass = '$pass' ",$connection));
if($result[0] == null)

//se non è presente si da errore
{echo"error";}
else
//se è presente si manda alla pagina del gdr
{header("location:game.php");}

?>

questa è la pagina game.php

<?
session_start();//Apro una sessione
if (!isset($_SESSION['nome1'])){exit(" devi effettuare il login");}elseif
(!isset($_SESSION['pass1'])){exit(" devi effettuare il login");}
else
{echo "ciao";}
?>

Grazie in anticipo:)

p.s.ora userò solo questo post per chiedere aiuto così non apro tremila post XD

oorazoroo 20.58
l´unico pc sicuro è un pc spento

mook 14.12
beh errare è umano perseverare è da ban

quota

Pagine → 1 2

blancks

SCRIVI

31/03/2009 20:23:16

E' normale, anche quando chiudi la finestra del browser la sessione rimane attiva per un tot di tempo che se non sbaglio è settato da qualche parte nel php ini.

Il punto è che devi fare una pagina di log out in cui distruggi la sessione creata, tipo questa:

<?php
session_start();

echo "Arrivederci " . $_SESSION['nome'];

session_unset();
session_destroy();
?>

GitHub: https://github.com/GDRCD/GDRCD ↗
Discord: https://discord.gg/zh69CDUf3V ↗

quota

jed,vitius

SCRIVI

31/03/2009 20:51:09

Per il fatto che rimane ok.
Ma mi stampa il messaggio ciao anche se ho fatto il login errato in pratica anche se la pagina di controllo mi da login errato mi memorizza lo stesso il nome e la pass inserita e perciò se entro direttamente in game.php mi stampa ciao in ogni caso.

oorazoroo 20.58
l´unico pc sicuro è un pc spento

mook 14.12
beh errare è umano perseverare è da ban

quota

blancks

SCRIVI

31/03/2009 21:33:26 e modificato da blancks il 31/03/2009 21:34:33

è normale, quando fai dei dati errati non dissetti la sessione che ormai è già valorizzata, quindi devi sfasciarla in caso

<?php
session_start();
include ("inc/config.inc.php");

//ci si connette al db
$connection = mysql_connect($db_host, $db_user, $db_password) or die ("#Connection Error: " . mysql_error());
mysql_select_db($db_name, $connection)or die("#Cannot select database !");

//si recuperano i campi dai form
$nome=htmlentities($_POST['input']);
$pass=htmlentities($_POST['pass']);

//si controlla se i campi sono vuoti
if(empty($nome) or empty($pass))
die("complete all fields !");

//imposto le variabili di sessione
$_SESSION['nome1'] = $nome;
$_SESSION['pass1'] = $pass;

//si controlla se l'utente è presente

$result = mysql_query("SELECT Nome, Pass FROM Personaggio WHERE Nome = '$nome' AND Pass = '$pass' ", $connection);

if(!$row = mysql_fetch_row($result)){

session_unset();
session_destroy();

die("error: character doesn't exist");

}else
header("location:game.php");

?>

prova un po così.

Edit, nella query di ricerca in questo caso devi usare la clausola AND perchè entrambe le condizioni di ricerca devono essere verificate ;-)

GitHub: https://github.com/GDRCD/GDRCD ↗
Discord: https://discord.gg/zh69CDUf3V ↗

quota

jed,vitius

SCRIVI

31/03/2009 22:27:44 e modificato da jed,vitius il 31/03/2009 22:31:06

Grazie blancks ora funziona tutto :).
Ho però un dubbio XD ho fatto la pagina controllo.php (che includo in ogni pagina per non riscrivere ogni volta il codice)è una cosa molto semplice

<?

session_start();

//controllo se si è effettuato il login
if (!isset($_SESSION['nome1'])){exit(" devi effettuare il login");}elseif
(!isset($_SESSION['pass1'])){exit(" devi effettuare il login");}

?>

ora quando in un altra pagina ad esempio game.php includo controllo.php
e in game.php devo utilizzare delle sessioni ora session_start() va riscritto o si può tralasciare dato che è già nella pagina inclusa?.

p.s.Ora che ho fatto la registrazione la pagina di login e di logout mi conviene provare a fare un abbozzo di chat o continuo con altro?.
Grazie a tutti in anticipo.

oorazoroo 20.58
l´unico pc sicuro è un pc spento

mook 14.12
beh errare è umano perseverare è da ban

quota

blancks

SCRIVI

31/03/2009 23:13:30

Il session_start devi avviarlo una sola volta: o nel file che includi o nel file principale, anche se per praticità ti consiglio di metterlo in quest'ultimo.

Per il resto vedi tu se cominciare con la chat o le bacheche, come più ti piace: non c'è uno schema da seguire ;-)

GitHub: https://github.com/GDRCD/GDRCD ↗
Discord: https://discord.gg/zh69CDUf3V ↗

quota

jed,vitius

SCRIVI

01/04/2009 13:23:48

Grazie blacks :) credo di amarti XD.
Prima di andare avanti però sto rafforzando i controlli durante la registrazione u.u per ora ho criptato la pass in md5 cosa che prima non faceva XD però ora devo controllare se l'email è valida cioè se dopo o prima di @ c'è qualcosa ed evitare che mi mettano cose stupide tipo ^@^ per intasarmi il db XD.Il codice è questo

<?
include ("inc/config.inc.php");
//ci si connette al db
$connection = mysql_connect("$db_host", "$db_user", "$db_password")
or die ("Errore nella connessione. ");
$db=mysql_select_db("$db_name",$connection)
or die("errore nella connessione");
session_start();

// recuperiamo i dati dei form
$nome = htmlentities( $_POST['nome']);
$cognome = htmlentities($_POST['cogno']);
$email=htmlentities($_POST['email']);
$pass=htmlentities($_POST['pass']);
$sesso=htmlentities($_POST['sesso']);

//variabile per controllare se l'email è valida
$num_at = count(explode( '@', $email )) - 1;
//controllare se i campi sono vuoti

if(trim($nome) == "" || trim($cognome) == "" || trim($email) == "" || trim($pass) == "" || trim($sesso) == "" ){ exit(" completare i campi");}
//controllare se l'email è valida
elseif(trim($email) == "" ||strpos($email,' ;') || strpos($email,',') || strpos($email,' ') ){ exit( " inserire un email valida" );}
elseif(!ereg("@",$email) || $num_at != 1){ exit( " inserire un email valida") ;};

//controllare che il pg non sia già presenti

$query="SELECT * FROM Personaggio WHERE Cognome='$cognome' OR Nome='$nome' OR email='$email' OR Pass='$pass' ";
$result=mysql_query($query) or die ("query fallita:" . mysql_error());

//se è presente da un errore
if ($row=mysql_fetch_array($result))
die("cognome o nome già utilizzato");

{echo "Dati: nome: "
. $nome .
" cognome: "
.$cognome .
" password: "
.$pass .
" email: "
.$email .
" sesso: "
.$sesso ;

$_SESSION['nome']="$nome";
$_SESSION['cognome']="$cognome";
$_SESSION['pass']="$pass";
$_SESSION['email']="$email";
$_SESSION['sesso']="$sesso";}

?>

Inoltre come ho detto prima cripto la pass in md5 però solamente quando la invio al db nella pagina sopra (dove viene stampata per farla confermare) è in chiaro,va bene se la cripto solo quando la invio al db o devo criptarla sempre?.La pagina dove la cripto e la invio al db è questa.

<?
//ci colleghiamo al db
include ("inc/config.inc.php");
//ci si connette al db
$connection = mysql_connect("$db_host", "$db_user", "$db_password")
or die ("Errore nella connessione. ");
$db=mysql_select_db("$db_name",$connection)
or die("errore nella connessione");

session_start();//Apro una sessione
if (!isset($_SESSION['nome'])){exit(" devi prima registrati");}elseif
(!isset($_SESSION['pass'])){exit(" devi prima registrati");}

session_start();

//recupero i dati
$nome=$_SESSION['nome'];
$cognome=$_SESSION['cognome'];
$pass=$_SESSION['pass'];
$email=$_SESSION['email'];
$sesso=$_SESSION['sesso'];

$passs=md5($pass);

//inseriamo i dati nel db
$query="INSERT INTO Personaggio(Nome,Cognome,Email,Pass,Sesso) VALUES('$nome','$cognome','$email','$passs','$sesso')";
$result=mysql_query($query)
or die( "query fallita:" . mysql_error());

mysql_close($connection);

mail("$email", "registrazione $nome", " il personaggio $nome $cognome è stato registrato correttamente la sua pass è:$pass", "From: ");

echo " il pg $nome $cognome è stato registrato correttamente a breve riceverai un email di conferma";

?>

oorazoroo 20.58
l´unico pc sicuro è un pc spento

mook 14.12
beh errare è umano perseverare è da ban

quota

blancks

SCRIVI

01/04/2009 13:38:04

Allora, per la mail ti consiglio l'utilizzo di una semplice regular expression per verificarne la validità, tipo una cosa come questa:

if (eregi("^[a-z0-9._-]+@[a-z0-9._-]+.[a-z]{2,4}$", $email))
echo "email valida";

( Per lo studio delle regex posso consigliarti un ottima guida on-line http://fido.altervista.org/RegExp/regex.html ↗ )

Per quanto riguarda la pass invece ti consiglio di evitare la fase di conferma, ma mettere piuttosto un doppio campo in cui reinserire la password nella prima pagina.

Quando elabori i dati verifichi se le pass in entrambi i campi corrispondono e a quel punto prendi e cripti in md5 (anche se ti consiglio sha1 che è più sicuro, ma per una protezione totale esiste sha256, tuttavia ti consiglio di spulciare it.php.net al riguardo sulla funzione hash xD)

GitHub: https://github.com/GDRCD/GDRCD ↗
Discord: https://discord.gg/zh69CDUf3V ↗

quota

jed,vitius

SCRIVI

01/04/2009 13:49:38

Io avevo messo

elseif(trim($email) == "" ||strpos($email,' ;') || strpos($email,',') || strpos($email,' ') || eregi("^[a-z0-9._-]+@[a-z0-9._-]+.[a-z]{2,4}$", $email) ) { exit( " inserire un email valida") ;};

avevo completamente cannato?XD.

Cmq va bene questo pezzo?
Qui in pratica recupero i dati poi la variabile passs (quella criptata) la invio al db e la variabile pass (quella non criptata)la invio via email.Così va bene o è poco sicuro?.

//recupero i dati
$nome=$_SESSION['nome'];
$cognome=$_SESSION['cognome'];
$pass=$_SESSION['pass'];
$email=$_SESSION['email'];
$sesso=$_SESSION['sesso'];

$passs=md5($pass);

//inseriamo i dati nel db
$query="INSERT INTO Personaggio(Nome,Cognome,Email,Pass,Sesso) VALUES('$nome','$cognome','$email','$passs','$sesso')";
$result=mysql_query($query)
or die( "query fallita:" . mysql_error());

mysql_close($connection);

oorazoroo 20.58
l´unico pc sicuro è un pc spento

mook 14.12
beh errare è umano perseverare è da ban

quota

blancks

SCRIVI

01/04/2009 13:56:17 e modificato da blancks il 01/04/2009 13:57:55

jed,vitius ha scritto: Io avevo messo

elseif(trim($email) == "" ||strpos($email,' ;') || strpos($email,',') || strpos($email,' ') || eregi("^[a-z0-9._-]+@[a-z0-9._-]+.[a-z]{2,4}$", $email) ) { exit( " inserire un email valida") ;};

avevo completamente cannato?XD.

si, direi che basta solo la regex xD

elseif (eregi("^[a-z0-9._-]+@[a-z0-9._-]+.[a-z]{2,4}$", $email))
exit("inserire un email valida") ;

in pratica se la mail non corrisponde alla struttura della regex il controllo risulta sempre false, anche se è vuoto il campo.

Cmq va bene questo pezzo?
Qui in pratica recupero i dati poi la variabile passs (quella criptata) la invio al db e la variabile pass (quella non criptata)la invio via email.Così va bene o è poco sicuro?.

In teoria è poco sicuro il passaggio stesso della password dal form allo script, perchè con tecniche di sniffing sarebbe possibile fregarla xD

Se fai una ricerca sul forum, l'argomento però era stato trattato in un post e se non sbaglio darkside of breakfast aveva rilasciato qualcosa in merito ;-)

Per il resto, più di così (appare scegliere un sistema di crypting più sicuro), non puoi fare.

GitHub: https://github.com/GDRCD/GDRCD ↗
Discord: https://discord.gg/zh69CDUf3V ↗

quota

jed,vitius

SCRIVI

01/04/2009 14:07:47 e modificato da jed,vitius il 01/04/2009 14:15:32

Edito perchè ho risolto mettevo eregi al posto di !eregi.

oorazoroo 20.58
l´unico pc sicuro è un pc spento

mook 14.12
beh errare è umano perseverare è da ban

quota

Discussione seguita da › jed,vitius

Pagine → 1 2

Rispondi alla Discussione Aggiungi ai Preferiti Inoltra Discussione Forum Programmazione, GDRCD, Open Source, Hosting Elenco Forum