loginscript til .htacces

[ilpostino]

holder på å lage en side med login. Siden skal ligge på Apache 1.3 med php. skal lage et Admin-området på denne siden og har dermed tenkt å bruke .htacces (hvis det er mulig det jeg skal gjøre da).

 

planen er å ha en innloggings-del på index-siden (med brukernavn/passord). brukernavn/passord skal sendes fra denne siden til .htacces som prosseserer login og aksepterer/rejecter login.

 

det er et alternativ bare å gå rett inn i mappen som er beskyttet med .htacces men det blir litt enklere hvis de kan skrive inn brukernavn/passord for så å bli sendt videre...

[Torbjørn]

du vil få opp innloggingsboks uansett hvilken side du går inn på med .htaccess. er ikke det et like bra alternativ?

 

hvis du bare beskytter noen sider, vil du ha direkte adgang til de andre uten inlogging

[ilpostino]

tror nok det vil være den enkleste løsningen.... da blir det litt mer beskyttet siden vanlige bsøkende ikke vil vite om denne "skjulte" admin-delen.

 

når du først har kommet deg inn i en siden i den beskyttede mappen trenger du vel ike skrive brukenavn/passord for alle sidene du er inne på... men bare på den første, ikkesant?

 

noe lur idé å bruke sessions på denne delen for å begrense hvor lenge folk kan være innaktive....?

[Torbjørn]

.htaccess og php/sessions er to helt forskjellige ting.

 

hvis du skal inn på en side som .htaccess-beskyttelse omfatter, må du skrive inn en godkjent username/password kombinasjon. hvis ikke kommer du rett inn. hvis du har skrevet inn godkjent en gang, vil det vare helt til du lukker nettleseren igjen.

[ilpostino]

hvis du har skrevet inn godkjent en gang, vil det vare helt til du lukker nettleseren igjen.

var nettop det jeg tenkte på... hvis du "glemmer" å lukke nettleseren før du drar hjem vil du jo i praksis være påloget en admin.side helt til du kommer på jobb dagen etterpå (eller mandagen etterpå) ... det innebærer at hvem som helst vil kunne bruke admin-sidene når en som har logget seg inn har forlatt maskinen...

 

såvidtjeg har skjønt på sessoins så varer en 'pålogging' i 20 minutter.. det vil si at du kan bli 'kastet ut' etter en gitt tids inaktivitet på siden.. hvis dette blir gjort så vil dette kunne øke sikkerheten littegrann (eller er jeg litt tullete her?).

[????????]

En session lagres default i 180 minutter, men du kan selv velge en annet tid - se session_cache_expire() i manualen.

[ilpostino]

En session lagres default i 180 minutter, men du kan selv velge en annet tid - se session_cache_expire() i manualen.

høres idéen helt teit ut eller er det noe som kan/bør lages...?

[????????]

Innlogging med sessions er kanskje den mest bruke funksjonen for å lagre logginn data om brukeren. Ta en kikk på hotscripts.com for tutorials og ferdig scripts.

[Torbjørn]

merk - man bør *aldri* gå fra maskinen sin mens man er logget inn

[ilpostino]

merk - man bør *aldri* gå fra maskinen sin mens man er logget inn

vet - men planlegger her å være litt proaktiv (som det så fint heter).

 

har vært litt bortpå bedrifter som har ganske slett sikkerhetskultur i bedriften... så forslaget mitt med sessions er egentlig bare for å være på den sikre siden. er jo endel idioter der ute som ikke alltid tenker sikkerhet - og det må jeg også prøve å tenke på når jeg skal lage en side med en admin-del.

[????????]

merk - man bør *aldri* gå fra maskinen sin mens man er logget inn

Hehe... det er lite man kan gjøre hvis noen låner pc'en din 2 sek etter man har gått ut av rommet, men det finnes to muligheter som gjør en side litt tryggere.

 

1. Det er mange sider som kjører ekstremt korte innaktive tider - dvs. klikker du ikke på en link i løpet av 5 min så blir du logget ut. Med denne metoden er det to ulemper. Brukeren kan ikke sitte å lese lenge på en side før han/hun blir kastet ut - og dersom noen låner pc'en 4 min etter brukeren har gått så er man like langt.

 

2. Mange sider har passord før du kan gjøre viktige endringer også etter man er logget inn. På denne måten hjelper det ikke om noen låner maskinen din. Men også med denne metoden er det en stor ulempe - siden blir tungvin å bruke. Det er en grunn for at man på f.eks. amazon kun trenger å logge inn så kan du bare klikke på det du vil kjøpe - så hukser den alt fra adressen din til kredittkortnummeret. Da blir det lett å handle!