php會話在登錄表上對用戶進行身份驗證

Question

我有以下代碼用於開始會話並存儲用戶名/密碼數據，如果沒有提交任何內容或者沒有會話數據存儲，則重定向到失敗頁面。

session_start(); 
if(isset($_POST['username']) || isset($_POST['password'])) { 
    $username = $_POST['username']; 
    $password = $_POST['password']; 
    $_SESSION['username'] = $username; 
    $_SESSION['password'] = $password; 
} 

if(isset($_SESSION['username']) || isset($_SESSION['password'])){ 
    $navbar = "1"; 
    $logindisplay = "0"; 
    $username = $_SESSION['username']; 
    $password = $_SESSION['password']; 
} else { 
    header('Location:http://website.com/fail.php'); 
} 

$authed = auth($username, $password); 
if($authed == "0"){ 
    header('Location:http://website.com/fail.php'); 
} 

它不工作的方式，它應該和重定向我失敗，即使我提交我的信息並將其存儲在會話中。難道我做錯了什麼？

注意在添加會話代碼之前，authed函數正常工作。

Answer 1

怎麼樣使用這個設置會話

session_start(); 
if(isset($_POST['username']) && isset($_POST['password'])) 
{ 
    if(auth($_POST['username'], $_POST['password'])) 
    { 
     // auth okay, setup session 
     $_SESSION['user'] = $_POST['username']; 
     // redirect to required page 
     header("Location: index.php"); 
    } else { 
     // didn't auth go back to loginform 
     header("Location: loginform.html"); 
    } 
} else { 
    // username and password not given so go back to login 
    header("Location: loginform.html"); 
} 

，並在每個「安全」頁面使用的頂部驗證碼：

session_start(); 
session_regenerate_id(); 
if(!isset($_SESSION['user']))  // if there is no valid session 
{ 
    header("Location: loginform.html"); 
} 

這樣下去的代碼極少量的頂部而不是在每個頁面頂部運行完整的身份驗證。要註銷會話：

session_start(); 
unset($_SESSION['user']); 
session_destroy(); 
header("Location: loginform.html"); 

Answer 2

首先，不要在會話中存儲密碼。這是一個壞事。其次，不要將用戶名存儲在會話中，直到之後已經通過身份驗證。

嘗試以下操作：

<?php 

session_start(); 

if (isset($_POST['username']) && isset($_POST['password'])) { 
    $username = $_POST['username']; 
    $password = $_POST['password']; 
    $authed = auth($username, $password); 

    if (! $authed) { 
     header('Location: http://website.com/fail.php'); 
    } else { 
     $_SESSION['username'] = $username; 
    } 
} 

if (isset($_SESSION['username'])) { 
    $navbar = 1; 
    $logindisplay = 0; 
} else { 
    header ('Location: http://website.com/fail.php'); 
} 

Answer 3

只是一些隨機點，即使他們實際上可能沒有涉及到這個問題：

• 不要在明文密碼存儲在會話。只評估密碼是否正常，然後在會話中存儲loggedIn = true或類似內容。

• 檢查密碼和的用戶名是$_POSTed，不||（或）。

• 請勿在$password和$_SESSION['password']之間來回傳遞密碼和用戶名。決定一個地方保存數據並保留在那裏。

• 您是否檢查過會議中是否可以存儲任何內容？餅乾好吧等...？

爲了大大簡化您的代碼，這不是你需要做的嗎？

if (isset($_POST['username'] && isset($_POST['password'])) { 
    if (auth($_POST['username'], $_POST['password'])) { 
     $_SESSION['user'] = /* userid or name or token or something */; 
     header(/* to next page */); 
    } else { 
     // display "User credentials incorrect", stay on login form 
    } 
} else { 
    // optionally: display "please fill out all fields" 
} 

Answer 4

解決我的具體問題上面

session_start(); 
if(isset($_POST['username']) || isset($_POST['password'])){ 
$username = $_POST['username']; 
$password = $_POST['password']; 
$_SESSION['username'] = $username; 
$_SESSION['password'] = $password; 
} 

if(isset($_SESSION['username']) || isset($_SESSION['password'])){ 
$navbar = "1"; 
$logindisplay = "0"; 
$username = $_SESSION['username']; 
$password = $_SESSION['password']; 
$authed = auth($username, $password); 
if($authed == "0"){ 
header('Location:http://website.com/fail.php'); 
} 
} else { 
header('Location:http://website.com/fail.php'); 
} 

Answer 5

這裏有一些其他的事情，這可能會或可能不會幫助你，順便說一句：

• 你有error_reporting上 ？ （see also）
• 您有display_errors嗎？
• 是session_start你在頁面上做的第一件事是什麼？必須有沒有之前輸出
• 是在客戶端上創建的cookie？
• header位置表示瀏覽器必須轉到另一個頁面;它不會停止執行PHP腳本。你可能想要（幾乎總是）在它後面添加「退出」。

Answer 6

標題不是函數調用。他們在HTTP標頭中加入了一個指令，而最後一個要執行的指令將被處理。因此，讓我們說，如果你有這樣的事情

if ($bAuthed) 
{ 
    header("location: login.php"); 
} 

// error case 
header("location: error-login.php"); 

你總是會被重定向到錯誤-login.php中無論發生什麼事情。頭文件不是函數調用！

Answer 7

不要使用第二if聲明else部分。

session_start(); 

if(isset($_POST['username']) || isset($_POST['password'])) { 

    $username = $_POST['username']; 

    $password = $_POST['password']; 

    $_SESSION['username'] = $username; 

    $_SESSION['password'] = $password; 

} 

if(isset($_SESSION['username']) || isset($_SESSION['password'])){ 

    $navbar = "1"; 

    $logindisplay = "0"; 

    $username = $_SESSION['username']; 

    $password = $_SESSION['password']; 

} 

$authed = auth($username, $password); 

if($authed == "0"){ 

    header('Location:http://website.com/fail.php'); 

}