|
 |
栏目导栏 |
|
| |
|
|
|
|
|
资料搜索 |
|
| |
|
|
|
|
|
热门文章 |
|
| |
|
|
|
|
|
最新文章 |
|
| |
|
|
|
| |
| |
|
|
|
|
在很多时候，我们都要对某些Web 页面进行安全保护。典型的例子就是前台浏览页面与后台管理页面的安全性。这也是 WEB 上用得最多的一种页面安全模式。在用PHP4 开发一个小型的书籍管理系统中，我也遇到了这个安全问题。于是我想到了PHP4 的新特性----Session .. MbkLinux联盟
MbkLinux联盟
要求目的：同一站点，无权用户，一般授权用户和超级用户能看到和使用不同的页面。 MbkLinux联盟
MbkLinux联盟
实现办法：在要保护的页面 include 不同级别的安全检验摸板。 MbkLinux联盟
MbkLinux联盟
注意事项： MbkLinux联盟
1 > 要避免用户浏览器不使用 cookie 而不能浏览受保护的页面（session 默认使用客户端的 cookie). MbkLinux联盟
2 > 要防止权限被盗用。（ PHP 4 的 session 的默认存活期间是从建立 session 开始到关闭浏览器为止。） MbkLinux联盟
MbkLinux联盟
如何使用： MbkLinux联盟
1 > 在需要一般保护的页面的代码最前边加上 include ("secturity2.php"); 就行了 MbkLinux联盟
2 > 在需要特殊保护的页面的代码最前边加上 include ("secturity1.php"); 和 include ("secturity2.php"); 就行了 MbkLinux联盟
（假设所有文件都在同一个文件夹里） MbkLinux联盟
MbkLinux联盟
程序代码及详细解释： MbkLinux联盟
security1.php 特殊用户页面保护摸板 MbkLinux联盟
security2.php 一般用户页面保护摸板 MbkLinux联盟
login2.php 用户登陆页面 MbkLinux联盟
MbkLinux联盟
我们先来看 login2.php （用户登陆页面）的代码： MbkLinux联盟
MbkLinux联盟
<?php MbkLinux联盟
session_register("user");#增加用户名变数 MbkLinux联盟
session_register("password"); #增加密码变数 MbkLinux联盟
session_register("tmLast"); #增加时间变数 MbkLinux联盟
if($user==""){#判断是否是第一次登陆 MbkLinux联盟
$error="Chooseyounameandinputthepasswordplease!"; MbkLinux联盟
} MbkLinux联盟
$tmLast=date("U"); #记录登陆时间 MbkLinux联盟
if($user1) MbkLinux联盟
$user=trim($user1); #记录用户名（引用user1变量是为什么？请读者自己思考。） MbkLinux联盟
$password=trim($password1); #记录密码 MbkLinux联盟
if($user1&&$password1){ MbkLinux联盟
if($password1==888){ #判断登陆密码是否是默认密码888结束 PHP 程式 MbkLinux联盟
$sid="PHPSESSID=".session_id(); #保存当前session的ID号 MbkLinux联盟
$warning="Yourpasswordisstillthedefaultpassword888,pleasechangeit."; MbkLinux联盟
header("Location:changePassword.php?$sid&warning=$warning"); #传递警告参数warning到changePassword.php 页面 MbkLinux联盟
exit(); #立刻结束 PHP 程式 MbkLinux联盟
} MbkLinux联盟
if(strtolower($user)=="root"){ #判断登陆用户是否是超级用户，可以自行扩充用户 MbkLinux联盟
$fileName="backend_index.php"; MbkLinux联盟
} MbkLinux联盟
else{ MbkLinux联盟
if(!$fileName) #判断进入登陆页面的上一页是否是受保护页面 MbkLinux联盟
$fileName="index.php"; MbkLinux联盟
} MbkLinux联盟
$sid="PHPSESSID=".session_id(); #保存当前session的ID号 MbkLinux联盟
header("Location:$fileName?$sid); #登陆成功进入指定页面，传递当前session的ID号，防止用户不使用 cookie 而读不到 session 值 MbkLinux联盟
exit(); #立刻结束 PHP 程式 MbkLinux联盟
} MbkLinux联盟
?> MbkLinux联盟
<html> MbkLinux联盟
<title></title> MbkLinux联盟
<head> MbkLinux联盟
<linkrel="stylesheet"href="class/style.css"> MbkLinux联盟
<metahttp-equiv="Content-Type"content="text/html;charset=gb2312"> MbkLinux联盟
</head> MbkLinux联盟
<h2>LoginPage</h2> MbkLinux联盟
<?php MbkLinux联盟
echo"$error"; #显示登陆提示 MbkLinux联盟
?> MbkLinux联盟
<formaction="<?phpecho$PHP_SELF；#提交到当前页?>"method=post> MbkLinux联盟
<P><b>Name：</b> MbkLinux联盟
<?php MbkLinux联盟
include("class/dbclass.inc"); #调用dbclass.inc类，用法和 mysql.inc 类一样 MbkLinux联盟
$q=newDB_Sql; #定义一个新的对象 MbkLinux联盟
$q->connect($Host,$Database,$User,$Password); #连接 mysql数据库 MbkLinux联盟
$query="selectchrUserName,chrFirstName,chrLastName". MbkLinux联盟
"fromUser". MbkLinux联盟
"wherechrFirstName!=''". MbkLinux联盟
"orderbychrFirstName"; MbkLinux联盟
$q->query($query); #执行sql语句 MbkLinux联盟
echo"<selectname=user1size=1>"; MbkLinux联盟
while($q->next_record()){ #从数据库中调出一般用户 MbkLinux联盟
if($user==$q->f(0)) #判断是否是当前用户 MbkLinux联盟
$select="selected"; #是当前用户则设置为默认值 MbkLinux联盟
else MbkLinux联盟
$select=""; MbkLinux联盟
echo"<optionvalue='".$q->f(0)."'$select>". MbkLinux联盟
ucfirst($q->f(1))."". #用户名首字大写 MbkLinux联盟
ucfirst($q->f(2))."</option>"; MbkLinux联盟
} MbkLinux联盟
echo"</select>"; MbkLinux联盟
?></P> MbkLinux联盟
<P><b>Password：</b><INPUTname=password1type=password></P> MbkLinux联盟
<INPUTname=tmLasttype=hiddenvalue=<?phpechodate("U")?>> MbkLinux联盟
<INPUTname=fileNametype=hiddenvalue=<?phpecho$fileName?>> MbkLinux联盟
<P><INPUTname=submittype=submitvalue=确认></P> MbkLinux联盟
</form> MbkLinux联盟
MbkLinux联盟
security2.php （一般用户页面保护摸板）： MbkLinux联盟
<?php MbkLinux联盟
session_register("user"); #说明同上 MbkLinux联盟
session_register("password"); MbkLinux联盟
session_register("tmLast"); MbkLinux联盟
if($fileName=="") MbkLinux联盟
$fileName=$PHP_SELF; #记录当前页面路径 MbkLinux联盟
if($durtime=="") MbkLinux联盟
$durtime=300; #设置 session “失效”时间 MbkLinux联盟
$currtime=date("U"); MbkLinux联盟
if(($currtime-$tmLast)>$durtime){ #判断 session是否“失效” MbkLinux联盟
//session_destroy(); MbkLinux联盟
$error=urlencode("Seesionexpired.Loginagainplease!"); MbkLinux联盟
header("Location:login2.php?fileName=$fileName&error=$error&user=$user"); #跳到重新登陆页 MbkLinux联盟
exit(); MbkLinux联盟
} MbkLinux联盟
else{ MbkLinux联盟
$tmLast=$currtime; # session 没“失效”则更新最后“登陆”时间 MbkLinux联盟
} MbkLinux联盟
MbkLinux联盟
include("class/dbclass.inc"); MbkLinux联盟
MbkLinux联盟
$q=newDB_Sql; MbkLinux联盟
$q->connect($Host,$Database,$User,$Password); MbkLinux联盟
MbkLinux联盟
$query="selectidUserfromUser". MbkLinux联盟
"wherechrUserName='$user'". MbkLinux联盟
"andchrPasswd='$password'"; MbkLinux联盟
$q->query($query); MbkLinux联盟
MbkLinux联盟
if(!$q->num_rows()){ #判断是否找到密码匹配的用户 MbkLinux联盟
$error=urlencode("PasswordiswrongorNoprivilegeuser."); MbkLinux联盟
header("Location:login2.php?fileName=$fileName&error=$error&user=$user"); #跳到密码错误登陆页 MbkLinux联盟
} MbkLinux联盟
else{ MbkLinux联盟
$sid="PHPSESSID=".session_id(); MbkLinux联盟
$q->next_record(); MbkLinux联盟
$USERID=$q->f(idUser); #保存通过验证用户的ID号，方便以后使用 MbkLinux联盟
} MbkLinux联盟
?> MbkLinux联盟
MbkLinux联盟
security1.php （特殊用户页面保护摸板）： MbkLinux联盟
<?php MbkLinux联盟
session_register("user"); #说明同上 MbkLinux联盟
$privilege="root,macro,jackie"; #设置超级用户名单列表，用“，”隔开 MbkLinux联盟
$pieces=explode(",",$privilege); #取得单个超级用户名单 MbkLinux联盟
for($i=0;$i<count($pieces);$i++){ MbkLinux联盟
if(strtolower($user)==$pieces[$i]){ #判断是否是超级用户 MbkLinux联盟
$hasPrivilege=1; MbkLinux联盟
break; #跳出判断循环 MbkLinux联盟
} MbkLinux联盟
} MbkLinux联盟
MbkLinux联盟
if(!$hasPrivilege){ MbkLinux联盟
if($fileName=="") MbkLinux联盟
$fileName=$PHP_SELF; MbkLinux联盟
$error=urlencode("Youhavenoprivilegetoviewthispage!"); MbkLinux联盟
header("Location:login2.php?fileName=$fileName&error=$error&id=$id"); MbkLinux联盟
exit(); #跳到无权用户登陆页面 MbkLinux联盟
} MbkLinux联盟
?> MbkLinux联盟
Linux联盟收集整理 ,转贴请标明原始链接,如有任何疑问欢迎来本站Linux论坛讨论 |
|
|
|
|
|
