Käyttäjätunnus ja salasana olisi tarkoitus tallentaa 1. Fileen ja muut tiedot Fileen Profile.
Henkilötiedot:
File 1. - User | Salasana
File Profile - Sähköposti | Asunpaikka | Kuvaus | jne.
File 1. ei sisällä niinkään paljon tietoa, joten olen ajatellut tallennusta suoraan tekstitiedostoon (Erotin: "|"); kun taas File Profile sisältää paljon tietoa, joten tallennus mySQL:n avulla?!
Vai pitäisikö henkilötiedot käsitellä kaikki samassa tietokannassa (vai tekstitiedostossa) mukaan lukien user & salasana? Onko kokemuksia?
-----
Kirjautuminen:
Mitkä tiedot pitää antaa kirjautumisen jälkeen cookieille tai urliin ks. session-funktiot, että henkilö näkee itsensä kirjautumisen jälkeen kirjattuna niin kuin kaikilla hyvillä sivuilla?
Cookie -
user ja md(salasana) evästeille -> PHP-tulkkiin: Tarkistetaan henkilö jne. Terve ! //Joka sivulla.
-Onko tämä oikea tapa vai onko käyttäjätunnuksen ja salasanan hashin paljastaminen tietoturvariski?
*Session-funktioista en ole niinkään varma, mutta käsittääkseni funktioiden luomalla ID:llä pystytään tunnistamaan henkilö? ID vaihtuu varmaan joka kerta, jolloin se ei varmaan muodostaisi tietoturvariskiä huolimatta tallennusta evästeisiin?!
Kiitos
Henkilötiedot:
File 1. - User | Salasana
File Profile - Sähköposti | Asunpaikka | Kuvaus | jne.
File 1. ei sisällä niinkään paljon tietoa, joten olen ajatellut tallennusta suoraan tekstitiedostoon (Erotin: "|"); kun taas File Profile sisältää paljon tietoa, joten tallennus mySQL:n avulla?!
Vai pitäisikö henkilötiedot käsitellä kaikki samassa tietokannassa (vai tekstitiedostossa) mukaan lukien user & salasana? Onko kokemuksia?
-----
Kirjautuminen:
Mitkä tiedot pitää antaa kirjautumisen jälkeen cookieille tai urliin ks. session-funktiot, että henkilö näkee itsensä kirjautumisen jälkeen kirjattuna niin kuin kaikilla hyvillä sivuilla?
Cookie -
user ja md(salasana) evästeille -> PHP-tulkkiin: Tarkistetaan henkilö jne. Terve ! //Joka sivulla.
-Onko tämä oikea tapa vai onko käyttäjätunnuksen ja salasanan hashin paljastaminen tietoturvariski?
*Session-funktioista en ole niinkään varma, mutta käsittääkseni funktioiden luomalla ID:llä pystytään tunnistamaan henkilö? ID vaihtuu varmaan joka kerta, jolloin se ei varmaan muodostaisi tietoturvariskiä huolimatta tallennusta evästeisiin?!
Kiitos
Vastaukset 2
Vanhimmat
Holy Makarena!
Löysin tosta käyttäjätunnus ja salasanan kirjautumisesta kattavan manuaalin: http://phpsec.org/articles/2005/password-hashing.html
(ei pidä mennä koneelle töitten jälkeen ;D
Homma hoitu siis tietokannoilla, mutta tosta miten käyttäjä pidetään kirjautuneena aina sivulta sivulle - tietysti kirjautumisen jälkeen - en tiedä -- Olisiko se siis jotenkin tähän malliin:
$_POST['user'] = htmlspecialchars(addslashes( $_POST['user'] )); //Sama salasanalle
->ja nämä sitten vain evästeille tai session-funktion kautta url'ille?! Gmail mm. tekee url'in kautta vain yhden pitkän muuttuvan hash:in - mutta mitenkäs se tehdään?
Hei onko se jotain näin: sha1(käyttäjätunnus salasana) 'salt' (muuttuva tekstitiedosto)
-> vertailu?! Apuva jotenki noinko??
tähän: http://www.php.net/manual/fi/ref.session.php
Kannattaa myös lukaista mureakuhan palstaa ja wikiä: http://mureakuha.com , http://wiki.mureakuha.com/wiki/Etusivu
Tuo salt tulee olla jokaiselle käyttäjälle yksilöllinen tunnus eli esim. tunnuksen luonnin yhteydessä tehtävä id tms. Senkin voi tallentaa kantaan. Eihän ole kiva jos joudut palauttamaan kannan tiedot joskus, mutta saltti tiedostot ovat hukkuneet jonnekin?