Хотелось бы примерчик рассмотреть. Особенно что касается безопасности.

Тоже самое что и с БД, только в файле. Т.е. получаем строки из файла с логином и паролем, и сверяем с введеными данными, если всё пучком, то регистрируем переменные сессии. При сохранении паролья md5-хеш обязателен.

Есть примерчик, но без безопасности, ее нужно дописывать. Нужен?

А о безопасности можно много говорить

1. Если хостер правильно выставил права, что у каждого юзера скрипт запускается под своим (uid),
то просто выставлять правильные права на файл. Скажем, rw------- (600) - только чтение пользователем-владельцем, то есть никто другой не сможет прочитать файл, не знаю насколько поможет и будет работать ли у хостеров, но можно попробовать.

2. Закинуть в папку .htaccess и запретить доступ через HTTP на этот файл.

3. Следующее - шифровать все пароли, хранящиеся в файле, скажем алгоритмом md5, а затем пришедший от пользователя пароль хешировать и сравнивать хеши.

Шифрование обязательно в любом случае, это предотвращает в какой-то мере хищение важной информации - паролей.

Это сообщение отредактировал(а) Anarki - 21.9.2005, 19:51

А обязательно ли хешировать пароли (если БД исплоьзуешь)? И скажите зачем вообще хешировать, как их украсть можно вооще? И если кто может, то дайте пожалуйста какой-нить мануал по безопасности веб-приложений. Заранее спасибо!!!

maugli
http://forum.vingrad.ru/index.php?showtopic=38887

Цитата(PARROT @ 21.9.2005, 17:43)

Есть примерчик, но без безопасности, ее нужно дописывать. Нужен?

Хотелось бы глянуть?

Ну можно сделать отдельный файл, с именем как у юзера, в котором хранится пароль этого юзера.
Права доступа, только для root'а при открытии они меняются на 0777, производится чтение и снова для root'а.

Jey_k вот тебе пример с БД: http://vingrad.ru/PHP-ART-002849
тут правда есть пара недочетов...
1. mysql_real_escape_string нужен
2. BINARY при сравнении.

Что касается файла... Тут очень важно ограничить доступ к файлу на уровне сервера. Идеальный вариант - вынести его выше DocumentRoot, правда, туда и PHP должен добираться.

Писала еще на курсах, но вроде работает.
Удаление тоже имеется, если что.

Код

<center>Регистрация нового пользователя<Form Method="POST"> Имя пользователя:<br><Input Type="text" Name="login" Value=""><Br> Пароль:<Br><Input Type="password" Name="passw1" Value=""><Br> Повторите пароль:<Br><Input Type="password" Name="passw2" Value=""><Br> <Input Type="submit" name="send" Value="Add User">&nbsp;<Input Type="reset" Value="Очистить"> </Form> <a href="del.php">Delete me from registration!</a> </center> <?php if($send){     if(!ereg("^[a-z0-9]+$", $login)){         $error="Ошибка: Вы ввели недопустимое имя пользователя!<br>";         }     if(!ereg("^[a-z0-9]+$", $passw1)){         $error.="Ошибка: Вы ввели недопустимый пароль!<br>";         }     if($passw1!==$passw2){         $error.="Введите пароль правильно!";         } if(!$error){     $data=file("users.txt");     foreach ($data as $us){     list($pass, $log)=split("\t", $us);     if($log==$login){         $er="Этот логин занят!!!";         }          }     if(!$er){     $dat=fopen("users.txt", "a");     fwrite($dat, "$passw1\t$login\n");     fclose($dat);     }      } else {echo"$error";} } ?>

Это сообщение отредактировал(а) PARROT - 21.9.2005, 21:39

PARROT
C регистрацией понятно, спасибо за интересный пример.

Мне интересно как грамотно обеспечить доступ к определенной странице через логин/пароль.
Например есть страница admin_page.php нужно чтобы она загружалась только при правильном вводе, например, на странице adm_auth.php. Особенно чтоб это было безопасно, при условии пользования файлом.

Цитата(Jey_k @ 21.9.2005, 22:05)

Особенно чтоб это было безопасно, при условии пользования файлом.

можно и с базой сделать так, что не безопастно будет..

Храни и пароль в MD5, логин тоже можешь запихнуть под это дело.

А потом делай выборку файла
имя файла будет допустим - md5($username).$ext
и дальше проверяй если его содержание будет совподать с md5($userPass) - то регистрируется переменная сессии, и передаётся её индетификатор пользователю. Права только для чтения поставь.

Цитата(AntonioBanderaz @ 21.9.2005, 23:13)

Храни и пароль в MD5

Почитай тут в поиске. в md5 не безопасно уже хранить.

Уже ломанули всё-таки....

ну тогда - mcrypt_ecb(MCRYPT_BLOWFISH,"некий ключ","некая строка",MCRYPT_ENCRYPT);
для расшифровки MCRYPT_DECRYPT. 448 бит

или для однонаправленного

mhash(MHASH_RIPEMD160,"некая строка"); 160 битный хеш.

Цитата(Jey_k @ 21.9.2005, 23:05)

Мне интересно как грамотно обеспечить доступ к определенной странице через логин/пароль. Например есть страница admin_page.php нужно чтобы она загружалась только при правильном вводе, например, на странице adm_auth.php. Особенно чтоб это было безопасно, при условии пользования файлом.

Ну это уже следующая стадия.
Пиши так, что если логин и md5(пароль) существует, записываем данные пользователя в куки и пускаем на страницу.