0

Прокомментируйте, пожалуйста.

//Выводим все ошибки
error_reporting(E_ALL);

//Имя базы
$table = 'users';

//Коннектимся в базе
mysql_connect("localhost", "root") or die("Error connect to server");
mysql_select_db("aaa") or die("Error select db");

if (isset($_POST['ok'])) {
    $email = !empty($_POST['email']) ? trim($_POST['email']) : NULL;
    $sql   = mysql_query("SELECT `email` FROM " . $table . " WHERE `email` = '" . mysql_real_escape_string($email) . "'");
    if (mysql_num_rows($sql) < 1)
        echo 'Такого мыла нет';
    else {
        $row    = mysql_fetch_assoc($sql);
        $to     = $row["email"];
        $from   = '[email protected]';
        $tema   = "=?utf-8?b?" . base64_encode("Восстановление пароля") . "?=";
        $header = "Content-type:text/html; charset=\"windows-1251\"\n";
        $header .= "From: <" . $from . ">\n";
        $header .= "MIME-Version: 1.0\n";
        $msg  = "Для создания нового пароля кликните по ссылку <a href=\"\">Задать новый пароль</a>";
        $mail = mail($to, $tema, $msg, $header);
        if ($mail !== FALSE)
            echo '<p>Иди на мыло и кликай по ссылке</p>';
    }
}

3 ответа 3

3

И что за ссылка юзверю идет? В таблице наверное должен быть флаг на то что юзер запрашивает восстановление пароля, значит ему нужно что-то куда-то записать. а то получается

$msg = "Для создания нового пароля кликните по ссылку <a href=\"\">Задать новый пароль</a>";

Можно узнать мыло узверя, просто тупо пройти по любой такой ссылке, изменить пароль, изменить потом мыло и акк твой.

Какие проверки и как будет отправляться ссылка на почту? сделай какой-нить CRC в MD5

4
  • Поэтом я написал, что это часть 1))) Вот хочу у вас спросить... если сделать так... отправить ссылку в формате тра-ля-ля?id=md5(time())... и этот же хеш занести в базу и сравнить... это бред или как?
    – vinnie
    15 ноя 2011 в 7:15
  • Проверяй поля до скрипта PHP скриптами на JS. <br /> Потом уже давай возможность обращения к скрипту. <br /> По поводу того, как должна выглядеть ссылка, тут на вкус и цвет и на разные условия. Допустим, срок жизни всего час, восстанавливать только с IP с которого пришел запрос т.е. <br /> md5($_SERVER['SERVER_ADDR']+time()+uLogin) Не забываем в таблицу БД вставить такие же значения для проверки MD5.
    – Artem
    15 ноя 2011 в 7:27
  • А как с ссылкой? с в правильном направлении? ?id=md5(time()) $_SERVER['REMOTE_ADDR'] А как срок жизни сделать?
    – vinnie
    15 ноя 2011 в 7:28
  • тьфу да, REMOTE_ADDR :) <br /> Смотри, ты в БД когда юзверь хочет восстановить пароль, ты в БД пишешь время. Ну и потом проверяешь его с нынешним. так вот просто.
    – Artem
    15 ноя 2011 в 9:03
2

Ну опять-таки проверка, есть ли мыло, не делается она, если мыло пустое!!! Далее вам нужно еще проверочный GET код привязать, который будет записан в базу, иначе промахнетесь с восстановлением. Причем код делать, например, md5 (рандом строка, которую записать в базу, только проверить, чтобы дубля не было)! Не делать проверкой MD5 (мыло или логин) ни в коем случае!

7
  • Поэтому я написал, что это часть 1))) Вот хочу у вас спросить... если сделать так, - отправить ссылку в формате тра-ля-ля?id=md5(time()) и этот же хеш занести в базу и сравнить, - это бред или как?
    – vinnie
    15 ноя 2011 в 7:18
  • можно. главное чтобы нельзя было вычислить этот хеш. иначе взломы будут сыпаться только так. и еще. выше тут советуют в яваскрипте проверку делать на заполнение. да, это надо деллать НО это не значит что в пхп это не нужно будет делать. не забывайте что можно сформировать запрос скриптом и направить прямо на ваш сайт обойдя заполнение формы!
    – Grimon
    15 ноя 2011 в 7:36
  • Как этого избежать? пхп кодом тоже проверять?
    – vinnie
    15 ноя 2011 в 7:37
  • Обязательно в пхп проверять все, что приходит, не полагаясь на проверку яваскриптом перед отправкой на сервер! Можете еще и где нужно капчу заюзать. Чтобы затруднить работу скриптов, которые могут просто забросать тупыми запросами на восстановление или что-либо добавку комментов или что у вас там будет.
    – Grimon
    15 ноя 2011 в 7:40
  • А как время жизни ссылки час сделать?
    – vinnie
    15 ноя 2011 в 7:42
0

Всего два замечания.

Во-первых, не нужно говорить есть такое мыло в базе или нет. Если, даже и нет, не пишите об этом, напишите что мол все отправлено на вашу почту, меньше знаешь - крепче спишь.

Во-вторых, не нужно грузить пользователя созданием нового пароля, нажатием на какие то сслыки, созданием нового пароля - всё это только бесит. Запросил восстановление, сгенерируйте новый пароль, обновите его в БД и отправьте на его почтовый ящик, всё.

Вводя все эти проверки вы усложняете жизнь пользователю, но при это ни на грамм не повышаете защищенность вашей системы, вопрос чего ради?

2
  • Соглашусь, кстати, по поводу лишних движений. <br /> Но всё равно сделал бы ссылку на почту для подтверждения нового пароля. Типа восстановить тогда пройдите по ссылке, как только перешел, тогда отправляем пароль на мыло, не перешел, оставляем все как есть.
    – Artem
    15 ноя 2011 в 15:19
  • Есть более простое решение, даже с пляской с паролями :) 15 ноя 2011 в 17:16

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.