Реализация login-а

Пользователь вводит логин и пароль.
Учетные данные проверяются в бд.
Дальше что?

Если пользователь ввел верную учетку?
И позжее заходит на сайт.

Как из пхп скрипта определить залогиненый юзер или нет?

Сессии?

ps без фреймворков типа ларавель
pss может есть специализированная либа, которая облегчит мне жизнь?

0

Сообщение от DimasCooleR То есть получается есть 2 варианта. 1. Если данного пользователя нет в сессии, то авторизуйтесь. Если есть, то работайте. 2. Нет в сессии - смотрим куку, сравниваем, и если ок, то "спасибо что вернулись".

Это как-бы должно выбиратьться пользователем,
если выбрал "запомнить" при входе, то 2
или 1, если как-бы безопаснее.

... как-бы это потому-что в наверное в некоторых случаях только.
Например злоумышленники получили доступ к компу вместе с браузером и куками ,)
пока владелец ходил за припасами ))
Но владелец из группы 2 мог-бы тоже просто нажать кнопку выход, если всё так секретно/конфедициально.
Разница только в том что всё это время, которое пользователь (или кто-то с его ключом) отсутствует,
запоминающий ключ нельзя перегенерировать, если выхода небыло и ключ остался.
А сессия самоуничтожается.

По поводу устаревания удалять можно удалять... такие ключи в записях которые не одновлялись в течении года.
Если они вернутся, через год,) то им не помешает снова вспомнить пароль.
Но могут не понять , если почистили когда на пару дней человек пропал, или там 15 суток отбывал где-то ,) неразлогинившись ...
Или сразу надо всех предупреждать что запоминалка только на столько-то дней ))

Добавлено через 21 минуту

0

Надо внимательно проверять информацию, потому что наверное есть ответственность за свои советы. Безопасность - серьезная, опасная тема.

torsar, не очень сложное это все. Как везде в программинге, это такое изобретение чтобы проверить кто подключается к странице профиля - если подключается ее владелец, тогда надо отобразить его страницу.

Информация cookie, это единственное что можно отдать пользователю в браузер. И то эта информация через промежуток времени - удаляется.

Можно посмотреть в поисковой системе: php, cookie, session, date, timestamp, http headers, hash, md5.

Полностью автоматизировать процесс авторизации могут php фреймворки, если не ошибаюсь. Более того - авторизация с помощью фреймворка наверное полностью безопасна, в фреймворке все внутри уже реализовано. Правда фреймворки сложные в изучении, да еще и надо подключать к проекту много кода для пользования простейшей функцией.

Если решите пользоватся фреймворком - рекомендую использовать самую современную и стабильную версию. Современные фреймворки которые самые популярные - это мировые проекты и там все должно быть безопасно.

Также надо постоянно смотреть информацию по багам и ошибкам фреймворка, на официальном сайте разработчиков. Более того, фреймворки требуют определенной версии интерпретатора PHP, сервера MySQL. Может быть версии не ниже требуемой, а какой то рекомендуемой либо выше.

К стати, можно реализовать процесс авторизации с помощью информации записанной в файл на сервере. Сказал просто для того чтобы знать что процесс авторизации можно реализовать и с помощью файлов.

torsar, будьте внимательны, авторизация это очень важно.

0