0

Вот у меня допустим есть простенький скрипт авторизации:

if (isset($_SESSION['login'])) {
{
    echo('Welcome, my dear user!');
}
else
{
    die('hacking attempt');
}

Не будет ли чего-либо опасного я если я просто выложу этот файл на сервер? Не сможет ли какой-либо "хитрый" юзер, не пройдя авторизацию?

Вот еще пример, где пользователь сможет без труда использовать php файлы, тупо меняя значения в адресной строке

if(!empty($_GET['login']) && isset($_GET['login']))
{
    echo('You are! '.$_GET['login']);
}
else
{
    die('hacking attempt');
}

Вообще меня смутило то, что я видел на сайте: https://bezramok-tlt.ru/?mode=2&post=4

 //Ключ защиты
 if(!defined('BEZ_KEY'))
 {
     header("HTTP/1.1 404 Not Found");
     exit(file_get_contents('./../404.html'));
 }

Я не совсем понял что это за ключ защиты и для чего он нужен. Но он явно защищает php от "лишнего" выполнения, когда это выполнение не было запрошено на предыдущем шаге.

Слышал также про "единую точку входа". Возможно это она. Если честно - я не совсем понял чём речь... В моём представлении это некоторый файл, проверяющий есть ли доступ у юзеров к тому или иному файлу и выдающий доступ ему. (т.е) похоже на то что было выше...

А сам вопрос такой: Как правильно оформлять и стоит ли делать защиту типа BEZ_KEY (пример написано выше).

11
  • как по мне это уже давно устарело, видел такое в datalife engine (DLE), да и на сайте 2015 год стоит обновление, значит писалось еще ранее. 24 янв 2018 в 19:03
  • Ну, а что модно сейчас?
    – Goldus
    24 янв 2018 в 19:14
  • модно не использовать die в коде, кроме ситуаций когда отлаживаешь код без отладчика и пишешь print_r($data); die;
    – teran
    24 янв 2018 в 19:41
  • а еще модно ООП и mvc, шаблонизаторы, и PDO вместо mysql
    – teran
    24 янв 2018 в 19:42

1 ответ 1

-1

Вообще-то, если надо использовать параметры из GET или POST запросов, входные данные необходимо фильтровать. Для этого есть удобная функция filter_input с различными флагами. Там есть коменты от пользователей, которые приводят примеры, которые помогут вам улучшить подобный код

!empty($_GET['login']) && isset($_GET['login'])

Это уже выглядит вчерашним днем

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.