Přihlašování uživatelů

Školení, která pořádám

Pokud mají mít na některé stránky přístup jen vybraní uživatelé, musí se nejprve nějak přihlásit. Způsobu ověření jejich jména a hesla je jako obvykle více.

PHP podporuje standardní HTTP autentizaci prostřednictvím proměnných $_SERVER['PHP_AUTH_USER'] a $_SERVER['PHP_AUTH_PW'].

<?php
$row = mysql_fetch_assoc(mysql_query("SELECT * FROM uzivatele WHERE login = '" . mysql_real_escape_string($_SERVER['PHP_AUTH_USER']) . "' AND heslo = '" . md5($_SERVER['PHP_AUTH_PW']) . "'"));
if (!$row) {
    header('HTTP/1.1 401 Unauthorized');
    header('WWW-Authenticate: Basic realm="Název aplikace"');
    page_header("Přihlášení");
    echo "<p>Pro přístup na tuto stránku se musíte přihlásit.</p>\n";
    page_footer();
    exit;
}
?>

Výhoda tohoto přístupu spočívá v relativně nižší pracnosti a také v tom, že uživatel se může přihlásit standardním způsobem přes http://login:heslo@www.example.com, byť se to asi málokdy použije – v IE 6 v XP SP2 byl tento způsob zápisu adresy z bezpečnostních důvodu navíc zakázán. Někdo může za výhodu považovat také to, že se pro přihlášení zobrazí standardní dialog prohlížeče, pro jiného to ale bude spíše nevýhoda. Jasná nevýhoda je ta, že přihlašovací data se přenášejí při každém stažení stránky nešifrovaně a navíc ve standardizované podobě, takže je pro různé sniffery jednodušší je získat. Problém je také s odhlášením – např. v Mozille stačí poslat hlavičku 401 (na uživatele ale potom místo informace o odhlášení vybafne přihlašovací dialog), v Internet Exploreru bylo nutné otevřít adresu s neplatným uživatelem (např. http://neexistuje@www.example.com), kvůli výše uvedenému omezení ale není možné už ani to. Poslední zádrhel se skrývá v tom, že pokud nemáte pod kontrolou všechny skripty na celé doméně (to je např. případ domácích stránek studentů a učitelů na školách), může záškodník použít stejný realm a tím potenciálně získat přihlašovací údaje uživatele (pokud ho přiměje po přihlášení k aplikaci navštívit své stránky). To je také důvod, proč se při zapnutém safe_mode do realmu doplňuje UID vlastníka skriptu. To pochopitelně vzhled standardního přihlašovacího dialogu poněkud nabourává.

Ve většině případů je proto asi lepší si přihlašování zařídit sám. Informace o přihlášenosti uživatele se dá ukládat např. do session.

<?php
if (isset($_POST["auth_login"])) {
    if (mysql_result(mysql_query("SELECT COUNT(*) FROM uzivatele WHERE login = '" . mysql_real_escape_string($_POST["auth_login"]) . "' AND heslo = '" . md5($_POST["auth_heslo"]) . "'"), 0)) {
        session_regenerate_id(); // ochrana před Session Fixation
        $_SESSION["logged"] = true;
    }
}
if (!isset($_SESSION["logged"])) {
    page_header("Přihlášení");
    if (isset($_POST["auth_login"])) {
        echo "<p>Neplatné přihlašovací údaje.</p>\n";
    }
    echo "<form action='' method='post'>\n";
    echo "<p>Login: <input name='auth_login' maxlength='30' /></p>\n";
    echo "<p>Heslo: <input type='password' name='auth_heslo' /></p>\n";
    echo "<p><input type='submit' value='Přihlásit' /></p>\n";
    echo "</form>\n";
    page_footer();
    exit;
}
?>

Tento způsob je o něco pracnější, výhoda je ta, že máme vše pod kontrolou. Pozor je ale potřeba dát na zabezpečení session proměnných. Odhlášení je triviální, stačí provést unset($_SESSION["logged"]).

Pokud používáte protokol HTTPS, můžete také využít přihlašování pomocí klientských certifikátů, ale obzvláště s jejich generováním je o něco více práce. Bezpečnost je každopádně s přihlašováním pomocí hesla nesrovnatelná.

Zbývá popsat, jak to slepit dohromady. Osobně umísťuji kód zajišťující přihlášení do souboru auth.inc.php a do všech souborů vyžadujících přihlášení tento soubor vložím. Výhoda je velká – můžu uživatelům nabídnout jakýkoliv odkaz (např. v e-mailu) a pokud se na stránku podívají nepřihlášení, rovnou se jim zobrazí přihlašovací dialog, po jehož vyplnění se stránka zobrazí. Někdo preferuje v případě nepřihlášení přesměrování na přihlašovací dialog hlavičkou Location. Pokud se přihlašovacímu dialogu předá adresa stránky, na kterou uživatel přišel, dá se dosáhnout stejné funkčnosti, jen je s tím o něco víc práce. Nezbytně nutné je provést po přesměrování exit, protože jinak se celá stránka, která by měla být dostupná jen pro přihlášené uživatele, bez okolků pošle (v prohlížeči se sice nestihne zobrazit, útočník se k ní ale může snadno dostat).

Viz také: Bezpečné přihlašování uživatelů.

Jakub Vrána, Řešení problému, 31.8.2005, diskuse: 122 (nové: 0)

Diskuse

halogan:

Mam otazku: Mam php soubor v UTF a i kdyz poslu hlavicku o tom, ze je v UTF, tak se sice error napise se spravnou diakritikou, ale Basic realm (Nazev aplikace) nikoliv, kde delam chybu?

Přihlašování uživatelů

Školení, která pořádám

Diskuse

halogan:

Jakub Vrána :

halogan:

POZOR:

Blizz:

Kalda:

salko:

Kalda:

salko:

Jakub Vrána :

Zdeněk Merta:

Kalda:

Kolo:

Jakub Vrána :

Jakub Vrána :

DaMage:

DaMage:

lukas:

Jakub Vrána :

mirino:

martinek:

Dolnman33:

error414:

error414:

Jakub Vrána :

skypeman:

Jakub Vrána :

skypeman:

Jakub Vrána :

elxter:

mura:

Jakub Vrána :

LUBO:

intimidant:

Silvestr:

Silvestr:

Jakub Vrána :

Juví:

DJ Majlou:

Lord-DarthWADER:

pafkoo:

Jakub Vrána :

Lord-DarthWADER:

Zoufalec:

Kuba:

Lord-DarthWADER:

Lord-DarthWADER:

Jago:

honza:

Štěpán Svoboda:

neviem:

Dvd+rw:

Lord-DarthWADER:

Marty:

Lord-DarthWADER:

Marty:

Lord-DarthWADER:

Lord-DarthWADER:

Naprostí laik:

zoufalec2:

napul noob:

napul noob:

ja:

MC:

Jakub Vrána :

MC:

dvdk:

HanziQ:

Jakub Vrána :

Balud:

Jakub Vrána :

Balud:

Jakub Vrána :

Balud:

Jakub Vrána :

Balud:

Kubees: