1

Друзья подскажите правильно ли я написал код, авторизация. Ajax обработка данных Обработчик:

if ($_GET['action'] == 'getLogin') {
        $user           = addslashes(htmlspecialchars($_POST["user"], ENT_QUOTES, ''));
        $pass       = $_POST['pass'];
        $get_pass   = mysql_query("SELECT id, login, pass, status, active FROM users WHERE login = '".$user."' LIMIT 1");
$row        = mysql_fetch_array($get_pass);
 $id            = $row['id'];
 $login         = $row['login'];
 $user_password = $row['pass'];
 $status        = $row['status'];
 $mail_conf     = $row['active'];

    if(as_md5($key, $pass) != $user_password || !$login) {
        $login = '';
        print 'Данные введены неверно'; 
        } elseif($mail_conf == 1) {
     print 'Ваш E-mail не подтвержден';
        } elseif($status == 3) {
     print 'Ваш счет временно заблокирован. Обратитесь в службу поддержки  ';   
    } elseif($status == 4) {
     print 'Вам запрещено больше принимать участие в проекте';
exit();  
    } else {

session_start();
$_SESSION['login'] = $user;

$ip     = getip();
$time   = time();

mysql_query("UPDATE users SET ip = '".$ip."', go_time = ".$time." WHERE login = '".$login."' LIMIT 1");
mysql_query("INSERT INTO logip (user_id, ip, date) VALUES (".$id.", '".$ip."', ".$time.")");
print "Переходим в кабинет..."; 
print "<script language=\"javascript\">setTimeout(function(){top.location.href=\"/myprofile/\";}, 1500); </script>";    
}
}

Ajax обработка :

$(document).ready(function(){ 
 $('#LoginForm').submit(function(){  
 $('#loading-formLogin').css('visibility','visible');
   var data = {
    user: $('#user').val(),
    pass: $('#pass').val()
}
setTimeout(function(){
                $.ajax({  
                    type: "POST",  
                    url: "/log-form.php?action=getLogin",  
                    data: data,
                    success: function(html){  
                    $('#loading-formLogin').css('visibility','hidden');
                    $('#LoginResult').fadeIn(200).css('display','block');
                    setTimeout(function(){
                    $('#LoginResult').fadeOut(1000).css('display','block');
                    }, 1500);
                    $('#LoginResult').html(html).css('display','block');                        
                 }  
                });  
                }, 1000); 
                return false;  
            });  

}); 

У меня все работает нормально. Если что то не так в коде пожалуйста укажите на ошибки) Буду очень благодарен!

2
  • Нужно использовать PDO библиотеку для работы с базой данных она более надежна и безопасней
    – modelfak
    9 мая 2015 в 9:31
  • Постарайтесь писать более развернутые вопросы. Поясните, в чем именно вы видите проблему, как её воспроизвести и т. д. 11 мая 2015 в 8:19

2 ответа 2

2

В общем, ничего особенного, за исключением того, что код совершенно варварский. Так писали 20 лет назад, в прошлом веке. К примеру, весь ужас первых 10 строчек сводится в наше время к одной:

$user = User::find_by_login($_POST["user"]);

при работе с БД через ORM.

Плюс Md5 считается неудачным выбором для хеширования пароля. Следует использовать Password Hashing

Также анахронизмом выглядит отправка текста в браузер. Сейчас обычно применяется JSON. К примеру, отправка яваскрипта, со всеми этими палочками и кавычечками и вовсе выглядит ужасно. Почему нельзя прописать тот же код в шаблоне, а в случае, если из РНР придет сообщение об успехе, успеха просто вызвать его?

Ну и я на 99% уверен в sql инъекции через $ip, в силу, опять же, неприемлемых средств для работы с БД и варварской же функции getip() - в прошлом веке других не делали.

Если не хочется использовать сторонние библиотеки для работы с БД, то вариант работать с чистым SQL остается только один - PDO. Следует при этом понимать, что самим фактом своего присутствия PDO никакие данные не защищает. Защита гарантируется только тогда, когда 100% данных, без исключений, подставляются в запрос через плейсхолдеры. К примеру, последние два запроса будут выглядеть так:

$sql = "UPDATE users SET ip = ? go_time = ? WHERE login = ?";
$pdo->prepare($sql)->execute(array($ip, $time, $login));
$pdo->prepare("INSERT INTO logip VALUES (?,?,?)")->execute(array($id, $ip, $time));

Вместо же функции getip() следует использовать $_SERVER['REMOTE_ADDR']

0

Не могу комментировать, но я немного не согласен с Shorty. Я и многие другие используют Mysqli вместо PDO. И Mysqli это рекомендуемый выбор. Единственная проблема, с которой я столкнулся, это IN в запросе с регулярными выражениями - WHERE запрос с IN в Mysqli — как? Но эта проблема решаема, и эта проблема присутствует также и в PDO. Так как оптимальным решением проблемы с IN запросами является SafeMySQL, то я бы рекомендовал Вам именно эту библиотеку. На форумах я очень часто встречаю рекомендации использовать SafeMySQL.

По поводу md5, я полностью поддерживаю Shorty. Нужно использовать Password Hashing. Если у Вас версия php >= 5.3.7, но меньше 5.5 Вы сможете использовать эту библиотеку для Password Hashing: https://github.com/ircmaxell/password_compat

2
  • Друзья но у меня же будет не соц сеть куда будут заходить по несколько млн человек) просто пишу скрипты для себя простенькие, так сказать учусь)) Спасибо всем! 9 мая 2015 в 10:28
  • Ну Вы сами попросили совета. И лучше сразу учится правильно :)
    – Денис
    10 мая 2015 в 9:58

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.