login  Naam:   Wachtwoord: 
Registreer je!
 Scripts:
Scripts > PHP > Beveiliging > loginscript mbv sessies v1.2

loginscript mbv sessies v1.2

Auteur: FangorN - 27 augustus 2004 - 14:27 - Gekeurd door: Dennisvb - Hits: 48029 - Aantal punten: 4.23 (44 stemmen)


Inleiding:
Met dit script kun je members met een gebruikersnaam en wachtwoord (afhankelijk
van het 'gebruikersniveau' of user level) toegang geven tot bepaalde delen van
je website, en anderen de toegang ontzeggen. Met behulp van een sessie (sessie-
variabelen) bepalen we tot welke delen van de website gebruikers toegang
hebben.
HOE je gebruikers deze rechten geeft en wat deze rechten inhouden is een ander
verhaal. Dit script beschrijft alleen het beveiligingsmechanisme.

Vereisten / aannames:
* De webmaster heeft de beschikking over een MySQL database waarin onder andere
gebruikersnaam, (versleuteld) wachtwoord en gebruikersniveau staan.
LET EROP dat het veld 'pass' tenminste 32 karakters lang dient te zijn, in
verband met gehashde passwords.
* sessies moeten ondersteund worden door de webserver
* Enige kennis van sessies, php functies (trim, md5, strcmp), binair tellen
(bitwise comparator)

Dit script is door mij al enige tijd in gebruik, en tot dusver heb ik nog geen
problemen ondervonden.
Mocht je echter problemen ondervinden (of gaten in de beveiliging ontdekken
die ik over het hoofd heb gezien ;)) mail of reply gerust.
Probeer (als iets niet werkt) eerst zelf uit te vogelen waarom iets niet werkt,
daar leer je echt het meeste van.
Lees ook eerst alles goed door; in de scripts zelf staat voldoende info om
vooruit te komen.

Bestanden:
- connect.php
In dit bestand wordt een connectie gemaakt naar je MySQL-databaseserver,
en selecteer je je eigen database.

- een login-script (login.php)
Hier type je je gebruikersnaam en wachtwoord in. In de database (of een file)
wordt gecontroleerd of je een bekende gebruiker bent. Als dit het geval is en
je wachtwoord klopt, worden enkele sessie-variabelen geïnitialiseerd en
ben je ingelogd. Vervolgens heb je toegang tot bepaalde member-only delen van
de site.
Hier kun je tevens aangeven of je login onthouden moet worden (op de machine
waar je mee inlogt).
Als je dit wilt, zal er een cookie worden aangemaakt en wordt in de database
bijgehouden onder welk IP-nummer je bent ingelogd. Het onthouden van je login
zal dus NIET werken op machines die een dynamisch (internet-)IP-nummer hebben.
Mijn script is zo gemaakt, dat wanneer je een bepaalde tijd niets
uitvoert, je op een gegeven moment weer uitgelogd bent (timeout) - deze "idle
time" kun je naar eigen smaak aanpassen.

- een logout-script (logout.php)
Hier wordt je sessie gedestroyed en wordt het sessie array leeggemaakt;
oftewel alle sessie gegevens worden verwijderd.
Wanneer er een cookie was geset die je login onthield, word deze hier
gecleared.

- een sessie-script (session.php)
Dit script dien je overal te includen waar je je pagina wilt beveiligen
(dus include("session.php"); of require("session.php"); - zie ook
voorbeeld.php) In deze include wordt gekeken of je idle-time is overschreden
en naar aanleiding daarvan worden acties uitgevoerd.
Als je nog niet bent ingelogd, maar bij een eerder bezoek hebt aangegeven dat
je login onthouden moest worden (en wanneer je nog steeds hetzelfde IP-nummer
als toen had) zal je sessie automatisch opnieuw opgestart te worden - je
wordt dan automatisch ingelogd.

- een voorbeeld-pagina (voorbeeld.php)
Hier worden (afhankelijk van het gebruikersniveau van een ingelogd persoon)
bepaalde delen van een pagina al dan niet zichtbaar gemaakt.

MySQL database tabel:
  1. CREATE TABLE users (
  2.   id int(4) NOT NULL auto_increment,
  3.   name varchar(20) BINARY NOT NULL default '',
  4.   pass varchar(32) BINARY NOT NULL default '',
  5.   level int(10) NOT NULL default '0',
  6. # v1.2 extra functionaliteit voor ingelogd blijven (volgende regel)
  7.   last_ip varchar(15) default NULL, 
  8.   UNIQUE KEY id (id)
  9. ) TYPE=MyISAM;



Uitbreiding:
Vanaf versie 1.2 is het mogelijk om je login te 'onthouden' door middel van het
setten van een cookie. Hierin staan de username en het encrypted wachtwoord van
een gebruiker opgeslagen. Om ervoor te zorgen dat mensen niet met een gestolen
cookie in kunnen loggen met de gegevens uit het cookie, wordt in de database
het IP bijgehouden van de machine van de persoon die het laatst succesvol is
ingelogd.
In de verschillende pagina's van het script zal aangegeven worden welke dingen
je moet toevoegen voor de gebruikmaking van deze extra functionaliteit.

Code:

aanmeld.php
  1. <?php
  2. require("connect.php"); // verbinding met de database maken
  3. ?>
  4. <html>
  5. <head>
  6. <title>sessies · aanmelden</title>
  7. </head>
  8.  
  9. <body>
  10. <?php
  11. // als het formulier nog niet is ingevuld
  12. if(!isset($_POST['submit'])) {
  13. ?>
  14. <form action="aanmeld.php" method="post">
  15. naam <input type="text" name="naam" size="40" maxlength="20" /><br />
  16. wachtwoord <input type="password" name="wacht1" size="40" maxlength="30" /><br />
  17. wachtwoord opnieuw <input type="password" name="wacht2" size="40" maxlength="30" /><br />
  18. <!--
  19. en wat je verder over deze gebruiker bij wilt houden
  20. bijvoorbeeld leeftijd, woonplaats, email, ...
  21. voor het opvragen van het wachtwoord etc. etc.
  22. hier moet je dan ook velden voor in je tabel 'members' aanmaken.
  23. Op deze extra velden moeten hieronder ook controles uitgevoerd worden of ze ingevuld zijn!
  24. -->
  25. <input type="submit" name="submit" value="submit" />
  26. </form>
  27. <?php
  28. // formulier gepost, kijk of alle velden ook daadwerkelijk zijn ingevuld
  29. } elseif(trim($_POST['naam']) <> "" && trim($_POST['wacht1']) <> "") {
  30.   // formulier ingevuld - kijk eerst of de gebruiker al bestaat
  31.   $naam = $_POST['naam'];
  32.   $res = mysql_query("SELECT * FROM users WHERE name='".$naam."'") or die(mysql_error());
  33.   if(mysql_num_rows($res) == 0) {
  34.     // geen resultaten - dit is wat we willen
  35.     // kijk of de opgegeven wachtwoorden overeenkomen
  36.     if(!strcmp($_POST['wacht1'], $_POST['wacht2'])) {
  37.       // wachtwoorden komen overeen - sla alle gegevens op in de database
  38.       // naam is al opgehaald uit het formulier
  39.       $wacht = md5($_POST['wacht1']); // versleuteld wachtwoord
  40.       $level = 1;                     // standaard gebruikersniveau
  41.       mysql_query("INSERT INTO users (name, pass, level) VALUES ('".$naam."','".$wacht."',".$level.")") or die(mysql_error());
  42.  
  43.       // geef melding weer
  44. ?>
  45. Je gegevens zijn opgeslagen.<br />
  46. Je kunt <a href="login.php">hier</a> naartoe om in te loggen.<br />
  47. <?php
  48.     } else {
  49.       // wachtwoorden komen niet overeen
  50. ?>
  51. De twee opgegeven wachtwoorden zijn niet hetzelfde.<br />
  52. Druk op de "back" knop van je browser en voer twee identieke wachtwoorden in.<br />
  53. <?php
  54.    }
  55.   } else {
  56.     // er bestaat al een gebruiker met deze naam
  57. ?>
  58. Er bestaat al een gebruiker met deze naam.<br />
  59. Druk op de "back" knop van je browser en geef een andere naam op.<br />
  60. <?php
  61.   }
  62. } else {
  63.   // sommige velden zijn niet ingevuld
  64. ?>
  65. Alle velden dienen ingevuld te worden.<br />
  66. Druk op de "back" toets en vul in alle velden wat in.<br />
  67. <?php
  68. }
  69. ?>
  70. </body>
  71. </html>



connect.php
  1. <?php
  2. $host = ""; // je hostname, meestal localhost
  3. $user = ""; // je username
  4. $pass = ""; // je wachtwoord
  5. $dbas = ""; // je database-naam
  6.  
  7. // connect naar database
  8. if(mysql_connect($host, $user, $pass)) {
  9.   // selecteer database
  11. } else {
  12.   // connecten naar database is mislukt
  13.   echo "Failed to connect to database.";
  15. }
  16. ?>



login.php
  1. <?php
  2. require("connect.php"); // connectie met database maken en database selecteren
  3. session_start(); // start een sessie of zet een sessie voort
  4.  
  5. // controleer hier of iemand inlogt - dit moet _voor_ de <HTML>-tag gebeuren gebeuren
  6. if(isset($_POST['login'])) {
  7.   if(trim($_POST['naam']) <> "" && trim($_POST['wacht']) <> "") {
  8.     // naam en wachtwoord zijn ingevuld. Haal het (versleutelde) wachtwoord en
  9.     // het gebruikersniveau dat bij deze gebruikersnaam hoort uit de database op
  10.     // en vergelijk dit wachtwoord met het in het formulier opgegeven wachtwoord.
  11.  
  12.     $naam  = $_POST['naam'];
  13.     $wacht = md5($_POST['wacht']);
  14.     $res = mysql_query("SELECT id, pass, level FROM users where name='".$naam."'") or die(mysql_error());
  15.  
  16.     // Als er een resultaat is, oftewel er bestaat een gebruiker met de naam $naam
  17.     if(mysql_num_rows($res) > 0) {
  18.       $row = mysql_fetch_assoc($res);
  19.       // aanname: het wachtwoord in de database is eenmalig gehashed mbv de functie md5()
  20.       // vergelijk het opgehaalde wachtwoord met een versleutelde versie van het in het
  21.       // formulier opgegeven wachtwoord
  22.       if(!strcmp($wacht, $row['pass'])) {
  23.         // alle gegevens kloppen
  24.  
  25.         // v1.2 extra functionaliteit, onthouden login
  26.         // wil de gebruiker zijn gegevens onthouden ?
  27.         if(isset($_POST['memory'])) {
  28.           // set cookie (voor 2 maanden) en onthoud het IP
  29.           // gebruik hierbij het id van de gebruiker
  30.           setcookie("login_cookie", $row['id'].";".$row['pass'], time()+3600*24*31*2, "/");
  31.           $ip = $_SERVER['REMOTE_ADDR'];
  32.           mysql_query("UPDATE users SET last_ip='".$ip."' WHERE id=".$row['id']) or die(mysql_error());
  33.         }
  34.  
  35.         // vul sessievariabelen
  36.         $_SESSION['suser']    = $naam;         // gebruikersnaam van ingelogd persoon
  37.         $_SESSION['slevel']   = $row['level']; // bijbehorende gebruikersniveau
  38.         $_SESSION['stime']    = time();        // de huidige tijd
  39.         $_SESSION['smaxidle'] = 60 * 60;       // het aantal seconden inactiviteit
  40.       } else {
  41.         // wachtwoorden komen niet overeen, breek de sessie weer af
  42.         $_SESSION = array();
  44.       }
  45.       // geef de resultaten van deze query weer vrij
  46.       unset($row);
  48.     }
  49.     // ververs, of de gebruikersnaam/wachtwoord combinatie nou klopt of niet, de pagina
  50.     header("Location: login.php");
  51.   }
  52. }
  53. ?>
  54. <html>
  55. <head>
  56. <title>sessies · login</title>
  57. </head>
  58.  
  59. <body>
  60. <?php
  61. // als de (een willekeurige) sessievariabele suser in het sessie-array nog geen waarde heeft
  62. // (dus als iemand nog niet is ingelogd)
  63. if(!isset($_SESSION['suser'])) {
  64. ?>
  65. <form action="login.php" method="post">
  66. naam <input type="text" name="naam" size="15"><br />
  67. wachtwoord <input type="password" name="wacht" size="15"><br />
  68. <!-- v1.2 extra functionaliteit, login onthouden -->
  69. <input type="checkbox" name="memory" value="1"> onthoud mijn login (gebruikt cookie)<br />
  70. <input type="submit" name="login" value="log in"><br />
  71. </form>
  72. <?php
  73. } else {
  74.   // de gebruiker is ingelogd - geef een welkomstboodschap oid
  75.   // hier kun je tevens kijken of alle sessievariabelen de goede
  76.   // waarden hebben (debugging)
  77. ?>
  78. Hi <b><?= $_SESSION['suser'] ?></b>,<br />
  79. <a href="voorbeeld.php">voorbeeld pagina</a><br />
  80. <a href="logout.php">uitloggen</a><br />
  81. <?php
  82. }
  83. ?>
  84. </body>
  85. </html>



logout.php
  1. <?php
  2. session_start();     // start een sessie of zet een sessie voort
  3. $_SESSION = array(); // maak het sessie array leeg
  4. session_destroy();   // verwijder de sessie
  5.  
  6. // als er een cookie geset is, reset deze
  7. if(isset($_COOKIE['login_cookie'])) {
  8.   setcookie("login_cookie", "", time(), "/");
  9. }
  10. ?>
  11. <html>
  12. <head>
  13. <title>sessies · logout</title>
  14. </head>
  15.  
  16. <body>
  17. Uitgelogd.<br />
  18. <a href="voorbeeld.php">voorbeeld pagina</a><br />
  19. <a href="login.php">(opnieuw) inloggen</a><br />
  20. </body>
  21. </html>



session.php
  1. <?php
  2. session_start(); // start een sessie of zet een sessie voort
  3.  
  4. // als de gebruiker is ingelogd
  5. if(isset($_SESSION['suser'])) {
  6.   // het volgende timeout deel is optioneel - dit mag worden weggelaten
  7.   // * timeout gedeelte *
  8.   $now = time();
  9.   // als er meer tijd is verstreken dan smaxidle
  10.   // sinds het aanmaken van de sessie
  11.   if($now - $_SESSION['stime'] > $_SESSION['smaxidle']) {
  12.     // breek de sessie af, de gebruiker dient opnieuw in te loggen
  13.     $_SESSION = array();
  15.   } else {
  16.     // ververs anders de sessietijd. Dit zorgt er voor
  17.     // dat de gebruiker ingelogd blijft zolang deze actief is.
  18.     $_SESSION['stime'] = $now;
  19.   }
  20.   // * einde timeout gedeelte *
  21. // v1.2 extra functionaliteit, onthouden login
  22. } elseif(isset($_COOKIE['login_cookie'])) {
  23.   // bekijk de waarden van de cookie en als deze kloppen met de database - start alsnog een sessie
  24.   // aanname - er is een verbinding met de database
  25.   list($id, $wacht) = split(";", $_COOKIE['login_cookie']);
  26.   $res = mysql_query("SELECT id, pass, level, last_ip FROM users WHERE id='".$id."'") or die(mysql_error());
  27.   if(mysql_num_rows($res) > 0) {
  28.     $row = mysql_fetch_assoc($res);
  29.     if(!strcmp($wacht, $row['pass']) && $_SERVER['REMOTE_ADDR'] == $row['last_ip']) {
  30.       // init session
  31.       $_SESSION['suser']    = $naam;
  32.       $_SESSION['slevel']   = $row['level'];
  33.       $_SESSION['stime']    = time();
  34.       $_SESSION['smaxidle'] = 60 * 60;
  35.  
  36.       // update cookie
  37.       // gebruik hierbij wederom het id en het versleutelde wachtwoord
  38.       setcookie("login_cookie", $id.";".$wacht, time()+3600*24*31*2, "/");
  39.     } else {
  40.       // password of ip komt niet overeen - unset het cookie en beeindig de sessie
  41.       setcookie("login_cookie", "", time(), "/");
  42.       $_SESSION = array();
  44.     }
  45.     // geef resultaten vrij
  46.     unset($row);
  48.   } else {
  49.     // gebruiker onbekend, cookie vervalst ?
  50.     $_SESSION = array();
  52.   }
  53.   // ververs de pagina
  54.   header("Location: ".$_SERVER['REQUEST_URI']);
  55. }
  56. ?>



voorbeeld.php
  1. <?php
  2. // include/require hier evt nog andere zaken
  3. require ("connect.php");
  4. // we willen op deze pagina gebruik maken van beveiliging mbv sessies,
  5. // dus includen (requiren) we session.php
  6. require("session.php");
  7. ?>
  8. <html>
  9. <head>
  10. <title>sessies · voorbeeld</title>
  11. </head>
  12.  
  13. <body>
  14. <?php
  15. /*
  16. we gaan hier kijken of de gebruiker is ingelogd, en welk
  17. user level de gebruiker heeft. Op grond daarvan laten we
  18. bepaalde delen al dan niet zien.
  19. Een gebruikerslevel is een getal wat aangeeft hoeveel
  20. "macht" je hebt. Vaak is het zo: hoe hoger het getal, hoe
  21. meer je mag.
  22. bijvoorbeeld:
  23. Voor een bepaalde bewerking heb je gebruikers-
  24. niveau 1 nodig, maar voor een andere bewerking heb je niveau
  25. 2 nodig. Een gebruiker die beide bewerkingen mag uitvoeren
  26. heeft gebruikersniveau 1+2 = 3. MAAR: Een gebruiker die om
  27. een of andere reden alleen de tweede bewerking mag uitvoeren
  28. heeft gebruikersniveau 0+2 = 2. Dus je telt de nummers die
  29. bij bepaalde rechten horen bij elkaar op.
  30. Het nummer dat het recht geeft op een bepaalde bewerking is
  31. altijd een macht van 2.
  32. bijvoorbeeld:
  33. recht #1 (bv inloggen) heeft gebruikers niveau            2^0 = 1
  34. recht #2 (bv je eigen info veranderen) heeft gebr. niveau 2^1 = 2
  35. recht #3 (bv nieuws toevoegen) heeft gebruikers niveau    2^2 = 4
  36. recht #4 (bv members toevoegen) heeft gebruikersniveau    2^3 = 8
  37. enz.
  38. Iemand die al deze bewerkingen mag uitvoeren heeft dus
  39. gebruikersniveau 1+2+4+8 = 15 (of 2^4 - 1)
  40. Iemand die alleen recht #1 en recht #3 heeft, heeft
  41. dus gebruikersniveau 1+4 = 5
  42. */
  43. // controle op ingelogd zijn:
  44. if(isset($_SESSION['suser'])) {
  45. ?>
  46. user <b><?= $_SESSION['suser'] ?></b> is logged in.<br />
  47. <?php
  48.   /*
  49.   vervolgens kijken we naar het userlevel, we vergelijken
  50.   bitsgewijs het gebruikerslevel - dit doen we met behulp van
  51.   een enkele '&' (de bitwise comparator)
  52.   *** LET OP ***
  53.   Enkel controleren met & is niet genoeg !
  54.   Stel dat je level 9 moet hebben voor een bepaalde bewerking, en je hebt
  55.   maar level 1. 1 & 9 is gelijk aan 1, en dan zou if(1 & 9) { ... } true opleveren
  56.   Je moet dus expliciet controleren of je level hoog genoeg is.
  57.   */
  58.   if(($_SESSION['slevel'] & 1) == 1) {
  59.     // voer code uit behorend bij recht #1
  60. ?>
  61. Je hebt recht #1.<br />
  62. <?php
  63.   } else {
  64.     // geef een melding dat je de acties
  65.     // behorend bij recht #1 niet mag uitvoeren
  66. ?>
  67. Je hebt recht #1 NIET.<br />
  68. <?php
  69.   }
  70.  
  71.   if(($_SESSION['slevel'] & 2) == 2) {
  72.     // voer code uit behorend bij recht #2
  73. ?>
  74. Je hebt recht #2.<br />
  75. <?php
  76.   } else {
  77. ?>
  78. Je hebt recht #2 NIET.<br />
  79. <?php
  80.   }
  81.   if(($_SESSION['slevel'] & 4) == 4) {
  82.     // voer code uit behorend bij recht #3
  83. ?>
  84. Je hebt recht #3.<br />
  85. <?php
  86.   } else {
  87. ?>
  88. Je hebt recht #3 NIET.<br />
  89. <?php
  90.   }
  91.   if(($_SESSION['slevel'] & 8) == 8) {
  92.     // voer code uit behorend bij recht #4
  93. ?>
  94. Je hebt recht #4.<br />
  95. <?php
  96.   } else {
  97. ?>
  98. Je hebt recht #4 NIET.<br />
  99. <?php
  100.   }
  101.   // et cetera
  102. ?>
  103. <a href="logout.php">uitloggen</a><br />
  104. <?php
  105. } else {
  106. ?>
  107. Je bent op dit moment niet ingelogd.<br />
  108. <a href="login.php">inloggen</a><br />
  109. <?php
  110. }
  111. ?>
  112. </body>
  113. </html>

 Download code! Download code (.txt)

 Stemmen
Niet ingelogd

 Reacties
Post een reactie
Lees de reacties  ( 91 )
© 2002-2012 Sitemasters.be - Regels - Gehost door: Vircon - Laadtijd: 0.283s