如何在會話中顯示用戶ID？
[英]How can I display userID in Sessions?
問題描述
除了頁面中的用戶名和用戶ID，我想獲取其他信息。 關於這一點，我創建了兩個PHP頁面。 另外，我的數據庫由3列userid，用戶名，密碼組成。 login.php頁面是
<?php
session_start();
//@$userid = $_GET['userid'];
@$username = $_POST['username'];
@$password = $_POST['pass'];
if(@$_POST['Submit']){
if($username&&$password)
{
$connect = mysql_connect("localhost","*****","") or die("Cannot Connect");
mysql_select_db("project") or die("Cannot find the database");
$query = mysql_query("SELECT * FROM users WHERE username='$username'");
//$query = mysql_query("SELECT * FROM users WHERE userid='$userid' and username='$username'");
$numrows = mysql_num_rows($query);
if($numrows!=0)
{
while ($row = mysql_fetch_assoc($query))
//while ($row = mysql_fetch_array($query))
{
$dbuserid = $row['userid'];
$dbusername = $row['username'];
$dbpassword = $row['password'];
}
if($username==$dbusername&&$password==$dbpassword)
{
echo "You are login!!!!! Continue now with the survey <a href='mainpage.php'>here</a>";
$_SESSION['username']=$username;
$_SESSION['userid']=$userid;
}
else
{
echo "<b>Incorrect Password!!!!</b>";
}
}
else
//die("That user does not exist");
echo "<b>That user does not exist</b>";
}
else
echo "<b>You must enter a username and a password</b>";
}
?>
<!--<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">-->
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<!--<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />-->
<title>Login Page</title>
<style type="text/css">
h2 {letter-spacing: 10px; font-size: .2in; background-color: #33CC00; color: #000000; text-transform:uppercase; width:260px}
span {color: #FF00CC}
legend {font-variant: small-caps; font-weight: bold}
fieldset {width: 260px; height: 100px; font-family: "Times New Roman", Times, serif; background-color: #CCCCCC; color: #000000}
label {display:block;}
.placeButtons {position: relative; left: 0px; width: 70px; margin: 5px; 0px;}
</style>
</head>
<body background="images/good.jpg">
<h2>Login Page</h2>
<form name="loginform" method='POST'>
<fieldset>
<legend>Form</legend>
<label>Username: <input type="text" name="username"/><span>*</span></label><br/>
<label>Password: <input type="password" name="pass"/><span>*</span></label>
<input class="placeButtons" type="reset" value='Reset'/>
<input class="placeButtons" type="submit" name="Submit" value='Login'/>
<a href='registration.php'>Register</a>
</fieldset><br>
<a href='firstpage.php'><-- Go Back</a>
</form>
</body>
</html>
和作為用戶歡迎頁面的頁面
<?php
session_start();
if ($_SESSION['username'])
{
//echo "Welcome, ".$_SESSION['username']."! <a href='logout.php'>Logout</a>";
echo "Welcome, ".$_SESSION['username']."<br>".$_SESSION['userid']. "<a href='logout.php'>Logout</a>";
}
else
die("You must be logged in!!");
?>
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<!--<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />-->
<title></title>
</head>
<body background="images/good.jpg">
</body>
</html>
問題在於，在歡迎頁面中，它僅顯示用戶名，而不顯示UserID。 我想念什么？ 此外，我知道我的登錄頁面並不是最好的登錄頁面，它是SQL注入攻擊的典型示例。 我必須改善它。
2 個解決方案
解決方案1
0 已采納 2013-08-10 14:38:17
我注意到一個快速的事情。 那可能是問題所在。 $_SESSION['userid']正在從未設置的$userid獲取價值。 另外，使用@抑制錯誤不是一個好習慣。 使用isset檢查變量是否已設置並繼續。
$_SESSION['userid'] = $userid; //where are you getting $userid from?
這應該是
$_SESSION['userid'] = $dbuserid;
也不要使用像
if ($_SESSION['username'])
首先檢查變量是否像這樣設置
if ( isset($_SESSION['username']) ){
//now continue your work
}
解決方案2
0 2013-08-10 14:59:33
並確保在共享的Web主機上時使用ini_set（'session_save_path'，'new_dir'）或函數session_save_path。 來自不同網站的同一目錄中的會話很容易被會話竊取/監聽/修改。
我檢查了PHP源代碼，PHP沒有跟蹤與網站（HOST）進行的會話ID，這說明了為什么攻擊者在同一虛擬主機上擁有一個帳戶的情況下，此攻擊有效的原因
因此，切勿對SESSION數組寄予太大的信任，因為您認為它是安全的，因為它是服務器生成的，如果您不采取對策的話就不會...
會議？ 如何顯示用戶行？
聲明:本站的技術帖子網頁，遵循CC BY-SA 4.0協議，如果您需要轉載，請注明本站網址或者原文地址。任何問題請咨詢:yoyou2525@163.com.