0

Дайте ссыль или подскажите как реализовать хранение пароля в куках на определенное время с проверкой этого пароля. Например. Пользователь входит на страницу. Если в куках есть записаный пароль и он равен паролю пользователя - он остается на странице. Если нет или не равен - его кидает на страницу ввода пароля (или вылетает всплывающее окно для ввода пароля)

5
  • 3
    если в куках будет пароль пользователя, то его будет видеть весь мир
    – etki
    8 июн 2014 в 16:50
  • А если в сессию писать - её ведь пользователь читать не может.? 8 июн 2014 в 16:59
  • @RattleSneyk, да, сессия сама по себе "не выходит" за пределы сервера
    – etki
    8 июн 2014 в 17:02
  • Ну это я к тому что можно же как то реализовать это через сессию?=) Вроде как то так же? [php] $_SESSION['name']=$name; [/php] А вот как хранить запись например 60 минут? 8 июн 2014 в 17:11
  • 1
    @RattleSneyk так же в сессию запишите time() ($_SESSION['loginTime']) когда пользователь залогинился, и по истечении 60 минут удаляйте обе переменные
    – naym
    8 июн 2014 в 17:13

1 ответ 1

1

В куках нельзя хранить какие либо критические данные. НИКОГДА.

Сделайте примерно так, по умолчанию - пользователь не авторизован. При авторизации пароль (его хэш, как там у Вас все устроено) сверяется с паролем (хэшем) в базе (именно у этого пользователя). Если они равны, то пишите к себе в сессионную переменную флаг, что пользователь авторизован

$_SESSION['isAuth'] = True;

Далее, при каждом запросе на сервер, проверяйте, авторизован ли пользователь

if ((bool)$_SESSION['isAuth']){//авторизован}else{//не авторизован}

и уже от этого пляшите.

Лучше вынести проверку на авторизацию в отдельную функцию\метод. При данной реализации пользователь будет залогинен на Вашем сайте до тех пор, пока не перезапустит браузер, после перезапуска он разлогиниться.

Если надо реализовать долгосрочный логин, то тут используйте куки.

При авторизации создавайте в базе какую либо рандомную строку которая будет идентифицировать пользователя, ВАЖНО! данный хэш необходимо привязать в базе к пользователю (напр. создать в таблице пользователей столбец AuthHash и там хранить, а так же повесить ключи UNIQUE что бы хэши не дублировались) например $AuthHash = md5(md5($login.time()).microtime().$SALT)//$SALT - соль (случайная строка)

Далее Вы пишете $AuthHash в БД и отдаете пользователю в виде кукисов на определенный срок. При дальнейших запросах пользователя, Вы получаете содержимое куки $_COOKIE['Hash']//$AuthHash Фильтруете её, что бы Вам какую либо дрянь не подсунули (sql иньекцию например) и далее осуществляете поиск данного хэша в базе. Если хэш найден, то Вы знаете что пользователь залогинен, и вы знаете что это за пользователь.

В целом все. Можно еще проверять куки на достоверность, добавляя к ним какую либо строку которая генерируется по алгоритсу который известен только Вам. Напр

function isValid($data, $hash){
     return md5($SALT2.md5($data).md5($SALT)) == $hash     
}

При этом кука будет выглядеть как то так HASH.DATA //hash - хэш который знает только сервер (используется в функции выше) data - полезные данные.

Таким образом если данные будут изменены, то при проверке в isValid() они её не пройдут, что будет говорить о том, что данные были подменены

7
  • В том то и дело, что пользователь авторизуетца через соц. сети. А мне нужна доп. проверка на отдельные функции. Опишу как работать должно: Пользователь вводит на отдельной странице секретное слово. Есть так же отдельная страница, где пользователь вводит это слово, после чего оно пишется в сессию. Вот именно это слово должно хранится в сессии например 60 минут. А после пользователь должен снова вводить слово для записи его в сессию, но при этом он все еще залогинен через соц. сеть..=) 8 июн 2014 в 17:18
  • Как разлогинить по таймеру указал в комменте выше)
    – naym
    8 июн 2014 в 17:21
  • Так мне не нужно разлогинить его по таймеру, а только сбросить по таймеру то самое секретное слово. А AuthHash - такое у меня и так есть. 8 июн 2014 в 17:26
  • Ну так а что мешает скинуть секретное слово? Принцип тот же. Но при каждом запросе, проверяйте, есть ли это секретное слово - нет - спросите, есть - все ок, проверяем таймер.
    – naym
    8 июн 2014 в 17:31
  • А как правильно поставить таймер в сессию? +) 8 июн 2014 в 18:09

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.