如何创建一个非常简单的用户名 - 用PHP登录密码？

Question

的index.php

<?php
if( $_SESSION['auth'] != 1 ) {
    require( 'login.php' );
}
else {
    echo "hello";
}
?>

的login.php

<?php
$name = $_POST['name'];
$pass = $_POST['pass'];

if( isset($name) || isset($pass) )
{
    if( empty($name) ) {
        die ("ERROR: Please enter username!");
    }
    if( empty($pass) ) {
        die ("ERROR: Please enter password!");
    }


    if( $name == "<some name>" && $pass == "<some password>" )
    {
        // Authentication successful - Set session
        session_start();
        $_SESSION['auth'] = 1;
        setcookie("username", $_POST['name'], time()+(84600*30));
        echo "Access granted!";
    }
    else {
        echo "ERROR: Incorrect username or password!";
    }
}


// If no submission, display login form
else {
?>
    <html>
    <head></head>
    <body>
    <center>
    <form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>">
    Username: <input type="text" name="name" value="<?php echo $_COOKIE['username']; ?>">
    <p />
    Password: <input type="password" name="pass">
    <p />
    <input type="submit" name="submit" value="Log In">
    </center>
    </body>
    </html>
<?php
}
?>

所以，因为我还在学习PHP，所以我现在想要解决一些问题：

• 我怎么得到它所以我可以重新加载index.php并显示'你好'？
• 如何让login.php在成功的身份验证时自动加载index.php，这样我才能得到它“hello”？
• 之后，会使用cookie来存储用户提交的登录数据（因此他们不必重新填写表单以恢复其会话）有任何潜在的问题吗？

帮助赞赏。

Answer 1

1，你在index.php中缺少session_start（）。 添加它，您应该能够看到'Hello world'

2，用“授予访问权限”替换您的行！ 重定向：

header('Location: index.php');
exit;

3，您绝对可以在cookie中存储凭据，但是您应该始终对密码进行哈希处理。 这是一篇关于密码哈希的好文章。

Answer 2

更好的处理方式：检查index.php中的会话变量，如果未设置则重定向。 像这样的东西

session_start();
if (!isset($_SESSION['auth']) || $_SESSION['auth'] != 1) {
   header('Location: login.php');
   exit();
}
echo 'Hello'; 

在login.php中，成功验证后，重定向到index.php并在那里执行回显。

session_start();
if( $name == "<some name>" && $pass == "<some password>" )
{
// Authentication successful - Set session
   $_SESSION['auth'] = 1;
   setcookie("username", $_POST['name'], time()+(84600*30));
   header('Location: index.php');
   exit();
}
else {
  echo "ERROR: Incorrect username or password!";
}

session_start（）应该在任何内容回显到浏览器之前。

Answer 3

你应该：

1. 总是尝试尽早调用session_start() - “要使用基于cookie的会话，必须在向浏览器输出任何内容之前调用session_start() 。”

2. 在执行$name = $_POST['name'];之前检查是否设置$_POST['name'] $name = $_POST['name']; 。 你可以做：

    $name = isset($_POST['name']) ? $_POST['name'] : ''; 

3. 将username直接存储在$_SESSION以便cookie仅保存PHPSESSID并且最终用户不能替换/滥用的数据：

    $_SESSION['user'] = 'John'; 

4. 尝试将用户重定向到index.php以查看更改会话的直接结果：

    header('Location: index.php'); exit; 

所以这就是它的样子：

<?php
session_start();
if (empty($_SESSION['user'])) {

    $name = isset($_POST['name']) ? $_POST['name'] : '';
    $pass = isset($_POST['pass']) ? $_POST['pass'] : '';

    if ($name != '' || $pass != '')
    {
        if ($name === '')
            die("ERROR: Please enter the username!");

        if ($pass === '')
            die("ERROR: Please enter the password!");

        if ($name == "test" && $pass == "test") {

            // authentication successful, save username in session:
            $_SESSION['user'] = 'John';

            // redirect to index.php to welcome the logged in user:
            header('Location: index.php');
            exit;
        }
        else {
            die("ERROR: Incorrect username or password!");
        }
    }

    // no submitted data, display form:
    ?>
        <html>
        <head></head>
        <body>
            <center>
            <form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>">
            Username: <input type="text" name="name" value=""><br>
            Password: <input type="password" name="pass"><br>
            <input type="submit" value="Log In">
            </form>
            </center>
        </body>
        </html>
    <?php
}
else {
    // info about current user is stored in session, welcome this user:
    echo "hello " . $_SESSION['user'];
}
?>

Answer 4

我怎么得到它所以我可以重新加载index.php并显示'你好'？

删除else ，因此它将始终显示“hello”：

if($_SESSION['auth'] != 1) {
    require('login.php');
}
// Either way always print.
echo "hello";

如何让login.php在成功的身份验证时自动加载index.php，这样我才能得到它“hello”？

替换echo "Access granted!"; 带header('Location:index.php');

之后，会使用cookie来存储用户提交的登录数据（因此他们不必重新填写表单以恢复其会话）有任何潜在的问题吗？

只要使用此作为自动填充用户名的方法。 并要求用户每次都输入密码。 否则，用户可以将其用户名cookie设置为“admin”或其他用户。

Answer 5

用它来重定向到index.php（我希望它能回答你的＃1和＃2）

if( $name == "<some name>" && $pass == "<some password>" )
{
    // Authentication successful - Set session
    session_start();
    $_SESSION['auth'] = 1;
    setcookie("username", $_POST['name'], time()+(84600*30));
    //echo "Access granted!";
    header("Location: index.php");
    die('');
}

您正在使用cookie直接存储用户名。 这不是一个很好的选择。 如果用户修改cookie，读取其他用户名怎么办？ 而是使用$_SESSION['..']像这样：

$_SESSION['user']=$_POST['name'];

然后，

if (isset($_SESSION['user']))
    echo "Hello, " . $_SESSION['user'];

Answer 6

没有人提到你应该检查会话实际上是一个有效的...如果你只是检查它的设置，你可以最有可能伪造它并通过。 还要将凭证哈希到cookie中，我会在第一个服务器端对其进行加密，然后对其进行哈希处理。 以防万一将来有人打破哈希类型。 sha3-256是你最好的选择，因为它不会被打破，并且应该抵抗将来很多计算能力的增加。

我通常做的是使用用户密码本身作为密钥对密码和用户进行加密，这样，如果你还将自己的凭据存储在自己的数据库中，那么网站维护者甚至无法解密它并窃取密码。 任何db dumping skiddie都只有一些元数据。 （你还应该加密用户名......）

看起来有点像“用户的简单登录和密码”，但实际上尽可能简单仍应考虑用户的安全性，即使它不是公共网站......

所以请记住：

• 检查有效内容的会话和cookie（如果有）
• 在转发到身份验证过程之前，检查用户和pw输入字段是否有合理的数据。
• 加密服务器端的用户和pw信息，如果你在那里发送（cookie？），则在客户端加密。
• 至少使用AES256（mysql支持这个本机自5.6以来它真的很容易使用...）来加密数据。
• 使用sha3-256进行散列。
• 看看加密和散列的指南，因为它很容易搞砸。

• 请一位知道的朋友测试你的设置，以最好的能力获得一箱啤酒^^并与他一起玩，并学习一些关于你的代码的东西：D

  • 最后，我会忘记（或者根本不知道）很多东西，所以会有丢失的子弹！ ：d