PHP

Petit éclaircicement sur les variables de session & CO

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Petit éclaircicement sur les variables de session & CO

xtof_83

Freeride Spirit

Salut tout le monde

Bon j'ai regardé tous ce qui avait été posté avant moi sur ce sujet..dans le forum...

Mais j'ai pas trouvé réponses à mes questions :heink:
Bon j'ai fait un systéme de Session car mon site, pourra accepter plusieurs personnes.

j'ai donc fait tous le nécessaires pour ça:
session_start()...

puis je chope session_id() et session_name();
que j'associe est ballance en GET

Je pense que jusque là c'est bon!
Mais voilà une fois, sur une page de la partie protégé, je ne suis pas sur du test à faire:

Car pour l'instant je fait un truc du style:
if(!isset($_GET['NOMSESSION']))
redirection vers page principal de l'admin et message d'erreur qui va avec.

Mais le probléme c'est qu'avec cette méthode...le gars qui tape dans l'url adresse?NOMSESSION=nimportequoi

Sa passe...
Donc je pense que mon test est foireux...si on peu m'éclaircir sur le sujet...je vous en remerci

++ :hello:

Publicité

TiDUS62

essaye de ne pas le passer en get pour des sections privées : ca peut s'averer dangereux
si ta des infos a faire passer et que tu souhaite que personne ne les voit utilise $_POST

xtof_83

Freeride Spirit

Lol rigolo tu es...

Et comment je fais pour les pages sans formaulaire...
Nop...il y a pas de risque par GET,
si la condition est bonne...

Car la var est dépendante de ou tu te connectes...

Masenko

Je te déconseille $_GET pour les informations persos.
Perso j'utilise seulement pour la navigation genre.
?module=Forums
?module=Forums&act=write&forum_id=54

A part ça les informations sur l'utilisateur sont enrengistré dans la session.
session_start();

Par défault si l'utilisateur n'est pas connecté via le formulaire d'indentification il aura ça.
$_SESSION['connected'] = 0;
$_SESSION['pseudo'] = 'Invite';

Un utilisateur connecté aura des informations rempli via un formulaire $_POST et on verifiera qu'elle corresponde bien avec la base de donnée sinon bien sur ça enrengistre pas et ça laisse comme si l'utilisateur n'était pas connecté.

$_SESSION['connected'] = 1;
$_SESSION['pseudo'] = $_POST['pseudo'];
$_SESSION... d'autres infos genre l'id, groupe etc...

xtof_83

Freeride Spirit

Mais si pas de formulaire sa fonctionne pas?

gatsusat

ben le GET c'est tout ce qui est dans l'url ou passé en GET par formulaire
et le POST c'est tout ce qui est passé par le formulaire.

Après à toi de voir ce qui te convient le mieux

xtof_83

Freeride Spirit

Mais sa je l'ai fait...

et sa marche nickel...non ce que je veux savoir
c'est quoi faire dans un fichier qui recoit cet variable...

if(!isset($_GET['NOMSESSION']))
redirection vers page principal de l'admin et message d'erreur qui va avec.
Ce n'est pas suffisant...

Masenko

Bah c'est pas comme ça que ça fonctionne.
Le $_GET c'est pas un formulaire de vérification a part si tu veux avoir des url de 40km de long et même c'est pas fais pour.

xtof_83

Freeride Spirit

Sur que non, dans ton exemple sans POST je suis foutu...et je sais que c'est pas vrai.

Pas grave pour l'url de 100 m de long, c'est la partie admin.
Mais logiquement une Session expire aprés un certain moment...et elle est en correspondance avec le systéme d'ou tu te logue...

Donc logiquement en marquant n'importe quoi dans le GET sa devrai pas marcher...

Mais moi j'y arrive pas à faire ça...

Vous voyez de quoi je parle quand même (ouais pas fait la faute)

....

Masenko

les sessions c'est très securisé.
Il y a que 3 manière de se logger sur la session de quelqun.

1. Pirater le serveur pour voir la session sur le dd.
2. Faille dans PHP
2. Faille dans ton code et récuperer la session.

Ensuite tu te log sur la session en faisant http://....?session=LASESSION

Perso je trouve ça suffisament securisé...

Enfin j'ai compris ce que tu veux dire mais la session n'expire pas tant que tu es actif.
Et au pire tu peux faire un cookie qui recrée la session si elle expire si l'utilisateur a demandé qu on ce souvienne de lui a chaque visite.

Maintenant je vais te donner un exemple tout bête d'une section admin.

Code :

<?php
$LOGIN = 'Test';
$PASSWORD = md5('Pass');
if ( !isset($_POST['Connexion']) )
{
echo '
<form method="post" action="'.$_SERVER['PHP_SELF'].'">
Login : <input type="text" name="login" size="20" /><br />
Password : <input type="pass" name="password" size="20" /><br />
<input type="submit" name="Connexion" value="Connexion" />
</form>
';
}
else
{
if ( $LOGIN == $_POST['login'] && $PASSWORD == md5($_POST['password']) )
{
echo 'Auhentification OK, tu peux afficher ta zone d\'admin ici';
}
else
{
echo 'Connexion Refusé';
}
}
?>

Message édité par Masenko le 08-08-2005 à 21:18:30

Publicité

xtof_83

Freeride Spirit

Oui dacord mais ton exemple ne marche que sur une page?

Non...
une fois passé ça, si je tape un url qui se trouve aprés cette page, comment la page de cet url vérifie que je viens de ce test ou de quelque part d'autre.

Bien sur je sais que une fois connecté, si tu ne quitte pas ta fenêtre ou que tu n'est pas partie par un truc du style déconnexion, qui détruit les variables, et ben tu garde accés au module.

Non moi mon probléme c'est quand un gars viens de l'exterieur direct sur un lien à l'intérieur de la zone protégé.

Bien sur j'ai fait en sorte que si il tape le lien sans la bonne variable, il est rejeté, mais si il tape le nom de la variable, il rentre, quelques qoit la valeur de la variable.

Comment empêcher cela.

Masenko

Ouais en faite je viens de me rendre compte que j'avais simplement fait un formulaire de connexion là.
Je refais et je te montre.
Voilà donc dans cette exemple si l'utilisateur tappes dans le formulaire login : Test et password : Pass il sera sur la zone d'admin car ce sera enrengistré dans la session comme quoi si admin = 1 alors il a acces a la zone d'admin.

Code :

<?php
session_start();
if ( $_SESSION['admin'] != 1 )
{
$LOGIN = 'Test';
$PASSWORD = md5('Pass');
if ( !isset($_POST['Connexion']) )
{
echo '
<form method="post" action="'.$_SERVER['PHP_SELF'].'">
Login : <input type="text" name="login" size="20" /><br />
Password : <input type="pass" name="password" size="20" /><br />
<input type="submit" name="Connexion" value="Connexion" />
</form>
';
}
else
{
if ( $LOGIN == $_POST['login'] && $PASSWORD == md5($_POST['password']) )
{
$_SESSION['admin'] = 1;
header("Location: ".$_SERVER['PHP_SELF']."" );
exit();
}
else
{
echo 'Connexion Refusé';
}
}
}
else
{
echo 'Wha! Ma zone d\'admin est magnifique';
}
?>

xtof_83

Freeride Spirit

$_SESSION['admin']
il se ballade dans toutes mes pages?

Parce que là ton truc m'avance pas plus , non?

Masenko

Oui il se ballade partout tant que au dessus de chaque page il est simplement écrit session_start();

C'est enrengistré dans ta session que admin est égal à 1 sur le serveur.

Pour que tu sois plus eclairé voilà le contenu de ta session lorsque tu as passé le formulaire avec succès :
admin|i:1;

Pi tu peux bien voir que tu as beau actualisé ta page après le formulaire et si t'as bien mis les infos t'as ça non stop "Wha! Ma zone d'admin est magnifique".

Si tu supprimes la session ou alors si tu en recrées une autre tu auras de nouveau le formulaire

xtof_83

Freeride Spirit

bon vais retester ton truc adapté à mon truc.

xtof_83

Freeride Spirit

Merci d'avoir usé de ton temps avec moi,
sa marche.

Au plaisir...

Masenko

De rien, bonne continuation dans ton truc et si t'as besoin d'aide la notification par mail est activé :pt1cable:

FORUM HardWare.fr

Programmation

PHP

Petit éclaircicement sur les variables de session & CO

Sujets relatifs
petit probleme	transformer nom de variables
Récupérer le nom de session windows du client dans un réseau local	Problème de session et objets .....
Petit probleme de liens pour mon album photo	une session auteur personnalisée
Piratage : sécurisation variables de sessions	[C++] petit pb de seg. fault
probleme de session	petit probleme script de menu deroulant
Plus de sujets relatifs à : Petit éclaircicement sur les variables de session & CO

Page générée en 0.077 secondes