[php] εμφανιση συνενδεμενου username με sessions

[Αποστόλης]

Το apostolis με το postolis δεν θα πρέπει να είναι το ίδιο σε μια διαδικασία login.
Με wild charachter όμως μπορεί να θεωρηθούν και τα δύο οτι πληρούν τις προϋποθέσεις για αυτό που ψάχνεις.
Αν και με το sha256 που χρησιμοποιείς για το password οι κίνδυνοι αυτοί μειώνονται, μιας και δημιουργούνται κρυπτογραφημένα strings που είναι "μοναδικά", το username είναι πιο ευάλωτο.
Και με δεδομένη τη συνήθεια πολλών να δίνουν αστεία passwords (π.χ. 123 που παράγει τον ίδιο sha256 κωδικό) τότε μπορεί να αντιμετωπίσεις πρόβλημα.
Αν η εφαρμογή είναι για σένα ή για σχολή κ.λ.π. πάει στο καλό.
Αλλά για επαγγελματική εφαρμογή αυτό είναι ψιλο απαράδεκτο.

[koslibpro]

προσωρινα ειναι για εμενα,κυριως για εκπαιδευτικους σκοπους.
ας υποθεσουμε ομως οτι ειναι για επαγγελματικη χρηση,τοτε πως θα επρεπε να ειναι?στον κωδικα τι θα επρεπε να αλλαζει και γιατι?

[Αποστόλης]

Απλώς δεν βάζεις το= %s ή το LIKE
Αντί

Κώδικας: Επιλογή όλων

WHERE username='%s' and password='%s'

ή

Κώδικας: Επιλογή όλων

WHERE username LIKE '%s' and password LIKE '%s'

αλλά βάζειςσκέτο το =

Κώδικας: Επιλογή όλων

WHERE username='".$username."' and password='".$password."'

[koslibpro]

αχα,τωρα πιστευω ξεκαθαρισα ακριβως τι συνεπεις θα ειχε το %s.Ουσιαστικα λειτουργει ως LIKE,πραγμα το οποιο θα "μπερδευε" την βαση δεδομενων σε ορισμενες περιπτωσεις..

[Αποστόλης]

Ναι.

[koslibpro]

μαλιστα.σε ευχαριστουμε για τις διευκρινισεις & πληροφοριες Αποστολη:) πολυ χρησιμες μπορω να πω..

[medigeek]

Τότε το παράδειγμα στο php.net είναι λάθος; http://php.net/manual/en/function.mysql-query.php
Ή τα έμπλεξα;

// Formulate Query
// This is the best way to perform an SQL query
// For more examples, see mysql_real_escape_string()
$query = sprintf("SELECT firstname, lastname, address, age FROM friends
WHERE firstname='%s' AND lastname='%s'",
mysql_real_escape_string($firstname),
mysql_real_escape_string($lastname));

[Αποστόλης]

Δεν είναι λάθος.
Δεν είναι το καλύτερο δυνατό για τη συγκεκριμένη λειτουργία.
Αντίθετα σε μια αναζήτηση του στύλ "φέρε ότι σχετικό βρείς" είναι αυτό που ενδύκνειται.
Για παράδειγμα έστω οτι ψάχνεις όσους Δημήτρηδες ζουν στην Αττική.
Αλλος μπορεί να είναι Δημήτρης, άλλος Δημητρός, άλλος Δημητράκης κ.ο.κ.
Σε λειτουργία login όμως δεν είναι καλο να το κάνεις αυτό.
Φαντάσου να μπεί κάποιος με λάθος κωδικό ή ακόμα χειρότερα να συνδεθεί κάπου σαν admin αντί σαν απλός χρήστης κ.λ.π.

[medigeek]

Α μάλιστα, τώρα κατάλαβα, ευχαριστώ!