Prijava na zaščitene strani

Pri prijavi uporabnik v obrazec vnese uporabniško ime in geslo. Aplikacija nato preveri, ali tak uporabnik obstaja in ali vneseno geslo ustreza shranjenemu geslu v podatkovni zbirki.

Prijava je občutljiv del spletne aplikacije, ker določa, kdo lahko dostopa do zaščitenih strani. Zato mora biti postopek prijave izveden z varnim shranjevanjem gesel, pripravljenimi stavki, pravilno uporabo sej in splošnimi sporočili ob napakah.

Vsebina strani

Osnovna pravila

Pri prijavi uporabnika preverimo identiteto uporabnika in ob uspehu ustvarimo prijavno stanje v seji. Pri tem ne smemo razkriti, ali je napačno uporabniško ime ali geslo.

• Prijavni obrazec naj uporablja metodo POST.
• Uporabniško ime in geslo preberemo iz obrazca.
• Obe polji morata biti izpolnjeni.
• Uporabnika poiščemo s pripravljeno poizvedbo.
• Geslo preverimo s funkcijo password_verify().
• Po uspešni prijavi regeneriramo ID seje.
• V $_SESSION shranimo samo potrebne podatke.
• Uporabnika preusmerimo na zaščiteno stran.

<?php
session_start();

define('DB_SERVER', 'localhost');
define('DB_USER', 'uporabnik');
define('DB_PASS', 'skritoGeslo');
define('DB_NAME', 'knjiznica');

$connection = mysqli_connect(DB_SERVER, DB_USER, DB_PASS, DB_NAME);

if (!$connection) {
    die(
        'Povezava s podatkovno zbirko ni vzpostavljena: ' .
        mysqli_connect_error() .
        ' (' . mysqli_connect_errno() . ')'
    );
}

$napaka = '';

if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $username = trim($_POST['username'] ?? '');
    $passwordAttempt = trim($_POST['password'] ?? '');

    if ($username === '' || $passwordAttempt === '') {
        $napaka = 'Vpišite uporabniško ime in geslo.';
    } else {
        $stmt = mysqli_prepare(
            $connection,
            "SELECT id, username, password FROM users WHERE username = ?"
        );

        mysqli_stmt_bind_param($stmt, 's', $username);
        mysqli_stmt_execute($stmt);
        $result = mysqli_stmt_get_result($stmt);
        $user = mysqli_fetch_assoc($result);

        if (!$user || !password_verify($passwordAttempt, $user['password'])) {
            $napaka = 'Uporabniško ime ali geslo ni pravilno.';
        } else {
            session_regenerate_id(true);
            $_SESSION['user_id'] = (int)$user['id'];
            $_SESSION['logged_in'] = time();

            header('Location: admin.php');
            exit();
        }

        mysqli_stmt_close($stmt);
    }
}

mysqli_close($connection);
?>

Pri mysqli uporabnika poiščemo s pripravljeno poizvedbo. Vrednost $username je vezana s funkcijo mysqli_stmt_bind_param(), zato je ne vstavljamo neposredno v poizvedbo.

<?php
session_start();

$streznik = 'localhost';
$baza = 'knjiznica';
$uporabnik = 'uporabnik';
$geslo = 'skritoGeslo';

try {
    $pdo = new PDO("mysql:host=$streznik;dbname=$baza;charset=utf8mb4", $uporabnik, $geslo);
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    $napaka = '';

    if ($_SERVER['REQUEST_METHOD'] === 'POST') {
        $username = trim($_POST['username'] ?? '');
        $passwordAttempt = trim($_POST['password'] ?? '');

        if ($username === '' || $passwordAttempt === '') {
            $napaka = 'Vpišite uporabniško ime in geslo.';
        } else {
            $stmt = $pdo->prepare(
                "SELECT id, username, password
                 FROM users
                 WHERE username = :username"
            );
            $stmt->bindValue(':username', $username, PDO::PARAM_STR);
            $stmt->execute();

            $user = $stmt->fetch(PDO::FETCH_ASSOC);

            if (!$user || !password_verify($passwordAttempt, $user['password'])) {
                $napaka = 'Uporabniško ime ali geslo ni pravilno.';
            } else {
                session_regenerate_id(true);
                $_SESSION['user_id'] = (int)$user['id'];
                $_SESSION['logged_in'] = time();

                header('Location: admin.php');
                exit();
            }
        }
    }
}
catch (PDOException $e) {
    $napaka = 'Prijava trenutno ni mogoča.';
}
?>

Pri PDO uporabimo poimenovani parameter :username. Gesla ne iščemo neposredno v poizvedbi, ampak najprej pridobimo shranjeni hash in ga nato preverimo s funkcijo password_verify().

Varno shranjevanje in preverjanje gesel

Gesla se v podatkovni bazi ne smejo shranjevati kot navadno besedilo. Ob registraciji ali ustvarjanju uporabnika geslo pretvorimo v hash s funkcijo password_hash().

$hash = password_hash($geslo, PASSWORD_DEFAULT);

Pri prijavi vnesenega gesla ne hashiramo ročno za neposredno primerjavo. Namesto tega uporabimo funkcijo password_verify(), ki preveri, ali vneseno geslo ustreza shranjeni zgoščeni vrednosti.

if (password_verify($passwordAttempt, $user['password'])) {
    // geslo je pravilno
}

Seje in preusmeritev po prijavi

Po uspešni prijavi v sejo shranimo podatke, ki jih aplikacija potrebuje za prepoznavanje prijavljenega uporabnika. Običajno shranimo identifikator uporabnika in čas prijave.

session_regenerate_id(true);
$_SESSION['user_id'] = (int)$user['id'];
$_SESSION['logged_in'] = time();

Po nastavitvi seje uporabnika preusmerimo na zaščiteno stran.

header('Location: admin.php');
exit();

Primerjava pristopov mysqli in PDO

Oba pristopa omogočata varno prijavo s pripravljenimi stavki. Razlika je predvsem v zapisu poizvedb, vezavi parametrov in obravnavi napak.

Aplikacija Knjige

Navodila za izdelavo prijave

Priporočila

• Gesla shranjuj kot rezultat funkcije password_hash().
• Pri prijavi geslo preveri s funkcijo password_verify().
• Za iskanje uporabnika uporabi pripravljen stavek.
• Po uspešni prijavi uporabi session_regenerate_id(true).
• V sejo shrani samo nujne podatke.
• Ob napaki prikaži splošno sporočilo.
• Po preusmeritvi uporabi exit().
• Za zaščitene strani preverjaj, ali je uporabnik prijavljen.

Pogoste napake

• Gesla so shranjena v navadnem besedilu.
• Geslo se preverja z neposredno primerjavo nizov.
• Poizvedba za uporabnika ni pripravljena poizvedba.
• Po uspešni prijavi se ne izvede session_regenerate_id(true).
• V sejo se shranjuje preveč podatkov.
• Sporočilo ob napaki razkrije, ali uporabniško ime obstaja.
• Po klicu header() manjka exit().
• Zaščitena stran ne preverja, ali je uporabnik prijavljen.