acces securisé pour une administration

Marsh Posté le 11-02-2005 à 17:29:43

Code :

bonjour !!!
je fais un petit module qui permet d'aceeder a une aprtie privee d'un site dynamique afin de l'administrer...
seulement ma redirection suivant le mot de passe de marche pas...
ca passe tout le temps... lol
[fixed]
if (isset($provenance)){
if($provenance=="form_login" ) {
include "./includes/connect.php3";
$login = trim(htmlspecialchars(addslashes($login))); # Parsing du login
$mdp = trim(htmlspecialchars(addslashes($mdp))); # parsing du password
if( ( strlen($login)!=0) && (strlen($mdp)!=0) ) {
$query="select * from user where login='$login' and mdp='$mdp'";
$result=mysql_query($query);
$nb=mysql_num_rows($result);
} else { $nb = 0;}
if ( $nb > 0)
{
$obj = mysql_fetch_object($result);
session_start();//démarrage d'une session
$_SESSION['id_user'] = $obj->num_user;
$_SESSION['statut'] = $obj->statut;
$nom=session_id();
echo"$nom";
echo"<script>window.opener.top.bottomFrame.location.reload();</script>";
echo"<script>window.close();</script>";
} else {
unset($nb);
unset($provenance);
$action = "erreur";
}
}
}

le form....

Code :

<form name="form" method="post" action="./admin.php3">
<input type="text" name="login" size="15">
<input type="password" name="mdp" size="10">
<input name="provenance" type="hidden" value="form_login">
<input type="submit" name="Submit" value="Valider">
</form>

ca cloche mais je vois pas ou...
et dans ma base ya 3 champs : id, login, mot de passe mdp)
merci a tous par avance :jap:

Reply

Marsh Posté le 11-02-2005 à 17:29:43

Reply

Marsh Posté le 11-02-2005 à 17:37:39

Ben met des "echo" de temps en temps pour voir où ca cloche.
Là je vois pas où est le bug.

Au fait, le mot de passe en clair dans la base de donnée, c'est pas génial. Si pour x raison, quelqu'un voit le contenu de la table utilisateur, il poura se loguer sous n'imlporte quel compte, y compris ceux des admins qui ont le plus de droit.

Autre truc : essaye d'éviter au maximum le javascript. Ca ne marche pas chez tout le monde.

Reply

Marsh Posté le 11-02-2005 à 17:48:06

tru crois? comment faut il faire ? faut stocké le mdp crypte alors? c possible sous mysql?

Reply

Marsh Posté le 11-02-2005 à 17:58:10

Deja tu stockes les mots de passe en crypte avec md5 (ou autre), ensuite tu compares les version cryptees des mots de passe (tu cryptes celui que te donne le visiteur puis tu le compare a la version cryptee qui est dans la table).
Ensuite si tu veux faire une redirection, utilise plutot "header" au lieu du JS (attention, pour que header fonctionne, tu ne dois rien envoyer avant).

Reply

acces securisé pour une administration

Sujets relatifs:

Leave a Replay