VPF::напоминание пароля - Форум программистов

student2008

Дата 13.10.2008, 20:48 (ссылка)

(голосов:4)

Загрузка ...

Новичок

Профиль
Группа: Участник
Сообщений: 19
Регистрация: 9.7.2008

Репутация: нет
Всего: нет

Код


if($send == "" || $email == ""){
        print "
        <form action=password.php method=post>
        <div class=left>Введите E-mail:</div>
        <div class=right><input type=text name=email size=30>";
        if($email == "" && $send != ""){print "<font color=#FF0000 class=error>введите e-mail</font>"; $a="1";}

        print "
        </div><input type=hidden name=send value='1'>
        <div class=righter><input type=submit value=\"Отправить\">
        </form>";
        }
        else
        {
        $p1="email like '$email'";

        print "Пароль отправлен";
        $lb=mysql_connect('localhost', 'root', '') ;
        mysql_select_db('baza');

        $result = mysql_query("select * from users where $p1 order by user_id desc");
        while ($row = mysql_fetch_array($result)) {
        $subject="Пароль отправлен";
        print "$email , $subject, $row[1]";
        mail ($email,$subject,$row[1]);
        }
        mysql_query($sql);
        mysql_close($lb);
        }

Хочу сделать чтобы при корректном вводе выводилось только сообщение об отправке, а при некорректном только форма с коментарием об ошибке.
На два файла разбивать не хочу.
Проблемма возникает с условиями то не реагирует на ошибку (при пустом поле) то реагирует.

Кто сталкивался подскажите!

godvinn

Дата 13.10.2008, 21:22 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 407
Регистрация: 4.4.2008
Где: possibility of mo ving to Kyiv

Репутация: 1
Всего: 1

а о функциях ты слышал или хотябы о проверки с помощью javascript перед отправкой?*
$a="1" и что у тебя эта переменная означает *? и где она у тебя в дальнейшем используется та и вообще раздели все на функции и потом уже делай нужные проверки. Это мое сугобо личное мнение так будет и наглядней и проще.

--------------------

Everything happens in life.

gta4kv

Дата 13.10.2008, 21:26 (ссылка)

(голосов:3)

Загрузка ...

Walking around mad.

Профиль
Группа: Завсегдатай
Сообщений: 1868
Регистрация: 25.7.2006

Репутация: 21
Всего: 91

Ооо. Пароль в открытом виде. Далеко пойдёте, батенька. smile

MoLeX

Дата 14.10.2008, 05:37 (ссылка)

(нет голосов)

Загрузка ...

Местный пингвин

Профиль
Группа: Модератор
Сообщений: 4076
Регистрация: 17.5.2007

Репутация: 46
Всего: 140

[оффтоп]
сразу вспоминается одна цитата:
вы не можете использовать пароль ***, этот пароль принадлежит пользователю Вася.
[/оффтоп]

student2008, пароли лучше зашифровать (base64 и т.д.) или же использовать хеширование (md5, crypt и т.д.). а вот если пользователь забыл пароль и просит выслать ему на мыло то генерируем новый, заносим в БД и высылаем ему на почту (которая указана при регистрации).

Цитата(student2008 @ 13.10.2008, 20:48

)

На два файла разбивать не хочу.

да хоть весь сайт делай в одном файле, главное чтобы тебе потом удобно было читать код и править его

--------------------

Amazing

Валерия

Дата 14.10.2008, 09:14 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 598
Регистрация: 10.3.2007

Репутация: 3
Всего: 8

Цитата(MoLeX @ 14.10.2008, 05:37

)

а вот если пользователь забыл пароль и просит выслать ему на мыло то генерируем новый, заносим в БД и высылаем ему на почту (которая указана при регистрации).

ИМХО не совсем верный вариант.
Если кто то знает емейл жертвы, будет ему пароль постоянно сбивать.
Я предлгаю такой вариант:
Запрашиваешь восстановление пароля, тебе приходит емейл в котором письмо мол "в самом деле?" и ссылка с ключем, когда по ней клацаешь то можешь там прописать нужный тебе пароль. И сделать ограничение, что не можешь запрашивать восстановление пароля чаще раза в сутки.
И генерировать ничего не надо smile

MoLeX

Дата 14.10.2008, 09:23 (ссылка)

(нет голосов)

Загрузка ...

Местный пингвин

Профиль
Группа: Модератор
Сообщений: 4076
Регистрация: 17.5.2007

Репутация: 46
Всего: 140

Цитата(Валерия @ 14.10.2008, 09:14

)

это уже докрутки всякие. для примера приведу сайт который на диплом у меня выходил - там есть возможность востановить пароль, причем он отсылался на мобилу владельца + блочился аккаунт. т.е. вариантов этого много это как фантазия программиста родит

--------------------

Amazing

teroni

Дата 14.10.2008, 11:41 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 381
Регистрация: 15.5.2007
Где: Днепропетровск

Репутация: 8
Всего: 22

Зачем все эти сложности? Если у злоумышленника есть доступ к мылу жертвы, либо к БД сайта - то взлом аккаунта неизбежен, хоть десять раз шифруй и хэшируй.

Это сообщение отредактировал(а) teroni - 14.10.2008, 11:43

MoLeX

Дата 14.10.2008, 11:47 (ссылка)

(нет голосов)

Загрузка ...

Местный пингвин

Профиль
Группа: Модератор
Сообщений: 4076
Регистрация: 17.5.2007

Репутация: 46
Всего: 140

Цитата(teroni @ 14.10.2008, 11:41

)

к БД сайта - то взлом аккаунта неизбежен

ну не скажи

--------------------

Amazing

teroni

Дата 14.10.2008, 11:52 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 381
Регистрация: 15.5.2007
Где: Днепропетровск

Репутация: 8
Всего: 22

Ну а что стоит злоумышленнику, имеющему доступ в БД, зарегаться самому, посмотреть, что за шифр получается из его пароля, поставить такой же жертве и зайти в её акк?
Да в общем-то и в акк заходить не сильно надо - ведь всю инфу о жертве и так в БД можно прочитать и/или изменить.

Это сообщение отредактировал(а) teroni - 14.10.2008, 11:56

Валерия

Дата 14.10.2008, 14:18 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 598
Регистрация: 10.3.2007

Репутация: 3
Всего: 8

Цитата(teroni @ 14.10.2008, 11:52

)

Ну а что стоит злоумышленнику, имеющему доступ в БД, зарегаться самому, посмотреть, что за шифр получается из его пароля, поставить такой же жертве и зайти в её акк?

Обычно доступ к БД есть только на чтение, причём не всех таблиц.
Если есть полный доступ к БД, тогда зачем злоумышленнику вообще сайтом пользоваться взламывая чейто акк? Можно и через БД всё делать smile

teroni

Дата 14.10.2008, 15:16 (ссылка)

(нет голосов)

Загрузка ...

Опытный

Профиль
Группа: Участник
Сообщений: 381
Регистрация: 15.5.2007
Где: Днепропетровск

Репутация: 8
Всего: 22

Цитата(Валерия @ 14.10.2008, 14:18

)

Если есть полный доступ к БД, тогда зачем злоумышленнику вообще сайтом пользоваться взламывая чейто акк? Можно и через БД всё делать

Вот и я о том же.
А как Вы себе представляете ситуацию, что злоумышленник может читать данные в БД, но не может ничего изменять там?

Цитата(Валерия @ 14.10.2008, 14:18

)

Обычно доступ к БД есть только на чтение, причём не всех таблиц.

А я думал, что обычно у злоумышленника вообще нету доступа к БД.

ksnk

Дата 14.10.2008, 15:28 (ссылка)

(нет голосов)

Загрузка ...

прохожий

Профиль
Группа: Комодератор
Сообщений: 6855
Регистрация: 13.4.2007
Где: СПб

Репутация: 96
Всего: 386

Валерия,

Цитата

Обычно доступ к БД есть только на чтение, причём не всех таблиц.

Каким таким образом? Можно поподробнее?

Обычно, imho, до базы можно добраться посредством кривых рук программиста через sql-injection. То-есть база появляется со всеми правами скрипта, который и читать и писать может...

Через "соседний аккаунт" на том-же сервере, при некривых руках админа, добраться до чужих баз малореально...

--------------------

Человеку свойственно ошибаться, программисту свойственно ошибаться профессионально ! user posted image

0 Пользователей читают эту тему (0 Гостей и 0 Скрытых Пользователей)
0 Пользователей:
« Предыдущая тема \| PHP: Общие вопросы \| Следующая тема »