PHP LOGIN MySQL

[shaq110]

Hi Leute,
will auf meine Homepage einen PHP Login einbauen. (http://www.fixmypc.de)Nur leider fehlt mir jeglicher ansatzpunkt zur aufbau der Website usw. Wollte das ganze mit ner Session Variable Lösen. Das Problem besteht darin, dass die Homepage aus 5 komplett einzelnen aber vom Aufbau her identiscehn Seiten besteht. Würde ich nun auf einer Seite mich per php einloggen und dann zu einer anderen wechseln, müsste ich ja die Variable erneut prügfen lassen, d.h. den Code vom Login der 1tenseite auf alle 5 kopieren. Haut das hin? Weil das hört sich für mich zimelich umständlich an. Oder st es besser wenn ich die Seite auf der ich eingelogt bin permanent lasse und den rest der seiten in einem IFrame lade? So zum Grundaufbau. Ich will die Daten bzw die Rechte der Benutzer aus einer MySQL Datenbank auslesen. gibts da irgendwo nen Workshop oder vorgefertigte Beispiele? Würde mich sehr über ne antwort freuen

Dankeschööön

[Falk Prüfer]

Hallo shaq110,

Voraussetzungen für die Erstellung eines "Login":
- Kenntnisse in der PHP-Programmierung
- Kenntnisse über Sicherheitsmechanismen
- Kenntnissse über die Funktionsweise von Sessions
- Für MySQL zusätzlich grundlegende Datenbank- und SQL-Kenntnisse

Deinem Thread entnehme ich, das dir hierzu ein paar Basics fehlen. Dir scheint der grundlegende Ablauf einer PHP-Applikation nicht ganz klar zu sein.
Ein PHP-Script, nennen wir es test.php erledigt bei seinem Aufruf seinen Job, liefert sein Ergebnis (meist als HTML) aus und wird beendet, d.h. es "vergisst" alles was es getan hat. Alle Variablen die "dauerhaft" sein sollen, müssen entweder beim nächsten Aufruf als Get- oder Post-Parameter übergeben oder in einer Session gespeichert werden.
Die Verwendung von IFrames "innerhalb" einer "geschützten" PHP-Seite ist totaler Unsinn. Prinzipiell läßt sich dann der Inhalt des IFrame durch Eingabe der URL direkt und damit ohne "Schutz" aufrufen.

Prinzipieller Aufbau:
Die Loginprüfung findet in einem Script - z.B. login.php - statt. Dieses Script muß folgendes tun:

1. Session initialisieren
2. Überprüfen ob Login-Daten übergeben wurden (Post)
3. wenn nicht, die Logindaten aus der Session lesen
4. wenn keine Login-Daten (aus Post oder Session) vorhanden -> Login-Dialog anzeigen
5. ansonsten -> Login-Daten validieren (z.B. mit Datenbank)
6. sind die Login-Daten valide -> Login-Daten in der Session speichern -> ok (z.B. eine globale Variabe $login auf true setzen)
7. sind die Login-Daten invalide -> Login-Dialog anzeigen

Dieses Script wird jetzt per include('login.php') in alle zu schützenden PHP-Scripte eingebunden. Dieses Script kann jetzt davon ausgehen, das bei $login === true, der Nutzer angemeldet und die Login-Daten geprüft sind.

Diese Beschreibung ist sehr grob und es gibt viele Fallstricke über die ein Anfänger stolpern und die ein Angreifer ausnutzen könnte. Deshalb ist es entscheidend WAS geschützt werden soll. Sind es wirklich sensible Daten, dann rate ich jedem Anfänger von der Selbstprogrammierung ab, hier sollte man sich unbedingt professionelle Hilfe einholen! Ist es einfach nur cool einen Login-Bereich zu haben oder sind die Daten nicht wirklich wichtig, dann reicht u.U. auch ein Schutz per .htaccess oder einfacher HTTP-Authentifizierung.

Gruß Falk