Keskustelu: Nettisivujen teko: Kirjautumis ongelma nettisivullani

Mulla on sellanen keskeneränen nettisivu (osote on www.superwebsite.ml)

ja siin on kirjautumis juttu. ongelmana on se että ei oo pakko kirjautuu koska voi vaihtaa nettisivun linkkiä www.superwebsite.ml/members.php ja pääsee suoraan sinne sivulle minne ois tarkotus kirjautuu. Luin yhelt sivult et pitäs kokeilla $_SESSION:ii mut en osaa käyttää sitä kunnolla jos jollain on aikaa auttaa mua sen ongelman kanssa nii kiitti!

:D

https://www.ohjelmointiputka.net/oppaat/opas.php?tunnus=php_11

Putkan PHP-oppassa kerrotaan istunnoista.

<?php
session_start();
if($_SESSION['username'] || $_SESSION['password'])
{
$username = $_SESSION['username'];
echo "Tervetuloa ".$_SESSION['username'];
echo "<title>SW - $username</title>";
}
else
{

header("header:index.php?notify=Tapahtui virhe");

}


?>

eiks tollasen pitäs toimii vai?

Kyllä toi toimii. Mutta se ei ole hyvää ja turvallista koodia.

• Istunnossa ei koskaan tulisi säilyttää salasanaa, varsinkaan sellaisenaan.

  $_SESSION['password']

• Mitä hyötyä on määritellä $username-muuttuja, kun sitä ei käytetä silloin kun pitäisi?

  $username = $_SESSION['username'];
  echo "Tervetuloa ".$_SESSION['username']; // muuta: echo "Tervetuloa ".$username;
  echo "<title>SW - $username</title>";

• Et tulosta validia hötömölöä. Plaintextiä voi tulostaa vain bodyyn, mutta titlen voi laittaa vain headiin. Tarkoitan siis tätä:

  echo "Tervetuloa ".$_SESSION['username'];
  echo "<title>SW - $username</title>";

• Header-funktiolle antamasi parametri ei ole validi. Jos haluat uudellenohjata, muoto on "Location: (absoluuttinen url)".
  Lisäksi die-funktion kustuminen headerin jälkeen lopettaa skriptin suorituksen.

kiitti paljon mut en siis tartte tota $_SESSION['password'] vai?

Vain kirjautuessa tarkistetaan onko salasana oikein. Muualla sitä ei pitäisi eikä saa tarvita.

ok

header("header:index.php?notify=Tapahtui virhe");

Ei näin.
Tuo on ihan hyvä, mutta älä laita suoraan echoa.

Esimerkki XSS (h1)