MYSQL-Login und Sicherheit

[Heinrich]

Nur ein Tipp, weil das mit der Konstanten für den Tabellennamen wohl nicht geklappt hat. Wenn du den Verkettungsoperator "." (Punkt) nimmst, musst du den String unterbrechen. Also so:

PHP-Code:

".DB_TABLET." 


nicht so:

PHP-Code:

'.DB_TABLET.' 


[Heinrich]

Noch was. Das ist wohl ein Flüchtigkeitsfehler:

PHP-Code:

$db_sql = "SELECT username, password FROM db_benutzer WHERE username = '$auth_user' AND password = '$auth_user'"; 


soll wohl heißen:

PHP-Code:

$db_sql = "SELECT username, password FROM db_benutzer WHERE username = '$auth_user' AND password = '$auth_pass'"; 


[feuervogel]

beides hätte man wahrscheinlich entdeckt, wenn man sich das statement einfach mal per echo ausgegeben hätte und angeschaut hätte. aber manche leute wollten sich nicht selbst helfen und lassen lieber andere debuggen.

[Fridge]

für mich muss keiner debuggen. Wie ich schon einmal geschrieben habe davon habe ich nichts wenn jemand für mich den Code da hin schreibt! Daraus lernt man das auch nicht wirklich. Und ich glaube ich habe den Fehler danach gefunden gehabt und auch geschrieben hat sich erledigt! Wollte sowiso noch mal schauen wie ich das mit Konstanten mache.

@Heinrich

Danke für den Tipp mit den Konstanten. Das mit den Tippfehler habe ich ja schon selbst gefunden.

[urvater]

Kleiner Hinweis noch. Dein SQL-Statement bitte mal so abändern:

PHP-Code:

$db_sql = "SELECT username, password FROM db_benutzer WHERE username = '".$auth_user."' AND password = '".$auth_user."'"; 


[Fridge]

Ich möchte mich mal bedanken für eure hilfe so sieht jetzt das Script aus:

PHP-Code:

<?php
require ('../../files/db_connect.inc.php');

$db_conn = mysql_connect ( DB_HOST , DB_USER , DB_PWD )
      or DIE ( 'Die Verbindung zur MYSQL-Datenbank ist fehlgeschlagen ' );

$auth_user = mysql_real_escape_string ( $_POST['username'] );
$auth_pass = mysql_real_escape_string ( md5 ( $_POST['password'] ) );

$db_sel = mysql_select_db ( DB_NAME );
          $db_sql = "SELECT username, password FROM ".DB_TABLET." WHERE username = '".$auth_user."' AND password = '".$auth_pass."'";
          $db_res = mysql_query ( $db_sql ) /*or DIE ( mysql_error() )*/;
if ( mysql_fetch_assoc( $db_res ) == TRUE ) {
    echo "Erfolgreich" ;
}
else {
    echo "Keine Berechtigung";
}
?>

Auf was sollte ich noch achten im Bezug auf sicherheit, noch einmal ihr braucht mir das nicht gleich debuggen. ;)

aber als nächstes versuche ich das mal in einer Funktion oder Klasse zu packen.

[urvater]

Hat zwar nicht direkt was mit Sicherheit zu tun nur frage ich mich wieso du das PW aus der DB holst? Der Username ist klar, da man den ja noch weiter verwenden könnte aber das Paßwort?

[Fridge]

Also dieses Login soll schon immer mehr Funktionen bekommen! Z.B. Registrieren, rechte verwaltung, usw. ich denke das ich es dann besser in einer Datenbank packen kann.

[Fridge]

Achso habe noch eine Frage, ist es besser mit Funktionen zu arbeiten oder lieber mit Klassen?

[urvater]

Zitat von Fridge

Achso habe noch eine Frage, ist es besser mit Funktionen zu arbeiten oder lieber mit Klassen?

Das hängt alles vom eigenen Können/Wissen und dem Projekt ab. Wer kaum oder keine Erfahrung mit Klassen hat wird sich mit Funktionen leichter tun.

Meiner persönlichen Meinung nach wird man früher oder später seinen Weg zu OOP und damit Klassen gefunden haben.