0

Пытаюсь создать на PHP самую простую flat-file CMS. Заметил идею, чтобы вместо ввода логина и пароля админ заходил по известной только ему и, соотвественно, секретной для других ссылке, например, mysite.com/secretadminurl и вводил в поле только пароль (т.е. поле для пароля появляется только при переходе по секретной ссылке). Это, насколько я понимаю, повышает безопасность и устраняет лишний шаг ввода логина, если сохранить себе секретную ссылку в закладках браузера. При этом авторизация через сессии.

Теперь возникла еще одна идея: предоставить админу возможность редактировать страницы сайта прямо с фронтенда. Т.е. после авторизации по секретной ссылке админ попадает на главную страницу фронтэнда, в самом верху сайта добавляется горизонтальное меню админ-панели на всю ширину окна и, если админ кликает по главному наполнению страницы, то он переходит в режим contenteditable и появляется еще маленькая панель wysiwyg-редактора. Аналогично при переходе на внутренние страницы сайта. При этом если админ в меню админ-панели, которое добавилось в самом верху сайта, выбирает, например, закладку "Плагины", а не "Страницы", тогда он переходит по ссылке /secretadminurl&view=plugins и ему уже открывается отдельная страница админ-панели со списком установленных в CMS плагинов.

Т.е. в главном index.php имеем, например:

$loggedIn = false;
if(isset($_SESSION['l'], $_SESSION['i']) && $_SESSION['i'] == __DIR__) {
    $loggedIn = true;
}
if($loggedIn == true && $userType == 'admin') {
    echo 'Admin-panel menu';
}
require_once __DIR__ . '/themes/active_theme/html.php';

Как лучше всё сделать, что нужно учесть и как сделать всё максимально безопасно?

Любые предложения и вопросы для уточнения приветствуются.

8
  • 1
    писать код для редактирования и отображения контента одновременно - идея не нова и используется в различных CMS. жирнейший минус - надо совмещать функционал обычного представления и функций редактирования. Это в принципе лишняя работf для сервера при генерации страниц, но также обернется огромной радостью при редизайне проекта. отделяйте мух от слонов, на кой оно вам вперлось? плюс единственный - ты редактируешь сразу то что видишь. в остальном одни минусы.
    – teran
    29 окт 2017 в 20:57
  • 1
    По поводу ссылки, то секретный урл также часто используется. Однако используется с целью предотвращения попыток подбора паролей и т.п., (например prestashop). Идея избавится от ввода логина потерпит фиаско на том шаге когда потребуется несколько пользователей-админов.
    – teran
    29 окт 2017 в 20:58
  • 1
    ну если у вас одностраничный сайт с единственным пользователем, то, конечно, пожалуйста, городите
    – teran
    29 окт 2017 в 21:01
  • 1
    потому что если несоклько юзеров шарят один логин, то считай это один юзер. В нормальной работе нужно знать какой конкретно пользователь что делал. То есть роль у них одна, логины разные. + могут быть и роли редакторов, менеджеров и т.п.
    – teran
    29 окт 2017 в 21:02
  • Нет, логины т.е. секретные страницы разные для каждого юзера, независимо от типа, просто админ-права предоставляются только юзерам с типом admin. И если нужно знать что кто делал здесь тоже проблемы не вижу
    – stckvrw
    29 окт 2017 в 21:05

0

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Посмотрите другие вопросы с метками или задайте свой вопрос.