[ deki_bg @ 26.04.2002. 19:38 ] @
Imam stranu koja sluzi za adiministraciju sajta i zasticena je sifrom, pa me intresuje:

Dole je kod pa ako neko moze da mi kaze koliko je ovo bezbedna metoda.

Da li je najbolje da se sifre cuvaju u *.inc fajlovima na apache/linux serverima???
Koliko je to sigurno?? Da li neko moze da skine taj fajl i da procita sta pise u njemu????


<?php
include("file.inc");
$aDoAuth=True;
if (isset($PHP_AUTH_USER))
{
if(($PHP_AUTH_USER == $user) &&
($PHP_AUTH_PW == $pass))
{
$aDoAuth=False;
}
}
if( $aDoAuth == True)
{
Header ("WWW-Authenticate: Basic realm=\"blabla\"");
Header ("HTTP/1.0 401 Unautorized");
echo "nije tacna sifra";
exit;
}
?>


inc file:

<?php
$user=deki;
$pass=sifra;
?>



[ FlatLine @ 26.04.2002. 20:29 ] @
Code:
<?php
include("file.inc");
$aDoAuth=True;
if (isset($PHP_AUTH_USER))
{
if(($PHP_AUTH_USER == md5 ($user)) &&
($PHP_AUTH_PW == md5 ($pass)))
{
$aDoAuth=False;
}
}
if( $aDoAuth == True)
{
Header ("WWW-Authenticate: Basic realm=\"blabla\"");
Header ("HTTP/1.0 401 Unautorized");
echo "nije tacna sifra";
exit;
}
?>

Code:
<?php
$user='3f3748b87788b68b940ffe1692370f03'; // md5('deki');
$pass='923352284767451ab158a387a283df26'; // md5('sifra'); naravno, ove komentare izbrises :)
?>
[ _owl_ @ 27.04.2002. 02:44 ] @
Citat:
FlatLine:
include("file.inc");


Vrlo nesigurno sem ako ne podesis Web server da posebno tretira zahteve ka .inc fajlovima (sta bi se desilo da neko urade http://bla.bla/file.inc umesto http://bla.bla/login.php ).
Tj mozes da drzis bazu korisnika u fajlu ali on mora da bude van document roota webservera. Nego primetio sam da u zadnje vreme svi postavljaju pitanja oko logovanja na odredjene strane pri cemu koriste PHP_AUTH_USER sto po meni i nije elegantno resenje.
Zar nije jednostavnije napraviti login/logout stranu koja ce da izvrsi autentifikaciju korisnika. A onda na svakoj strani zasticenoj lozinkom pozivati proceduru koja ce proveravati da li je korisnik ulogovan.
[ deki_bg @ 27.04.2002. 03:34 ] @
<?php
$user='3f3748b87788b68b940ffe1692370f03'; // md5('deki');
$pass='923352284767451ab158a387a283df26'; // md5('sifra'); naravno, ove komentare izbrises :)
?>

nije m jasno kako si dobio ove "sifre" ??????
i da li ih neko na isti nacin moze pretvoriti u pocetnu formu (usr=deki,pas=sifra)??????????????????
[ FlatLine @ 27.04.2002. 11:50 ] @
sad sam video da sam se zeznuo...

treba:
Code:
[...]

if((md5($PHP_AUTH_USER) == $user) &&
(md5($PHP_AUTH_PW) == $pass))

[...]

a ovako se dobijaju enkriptovani kodovi:
Code:
print md5('deki');
print md5('sifra');


http://www.php.net/manual/en/function.md5.php
[ Divine @ 27.04.2002. 19:35 ] @
Shto se mene tiche, naj bolja autorizacija korisnika je ona bazirana na PHP sesijama. Osim shto je laksa za rad, pruza vishe mogucnosti. Takodje, ako je PHP instaliran kao CGI HTTP Authorization je nemoguc. Autorizacija sa sesijama omogucava koriscenje HTML formulara koji se u kombinaciji sa stilovima (css) mogu fenomenalno uklopiti sa dizajnom sajta. Primjer je i ovaj forum, formulari su fino uklopljeni tako da ne odskacu od sive boje sajta.

Pozdrav.
[ Goran Rakić @ 27.04.2002. 21:45 ] @
kakve veze ima da li su sesije ili kolačići? Na ovom forumu se koriste kolačići za utvrđivanje korisnika. Forma se koristi (html, css..) i prilikom autorizacije sesijom, kolacicem, ili necim drugim...

Inace, najsigurnije resenje je PHP-GTK klijentska aplikacija koja pristupa serveru...
[ Divine @ 02.05.2002. 02:43 ] @
E pa ako hocemo bas do detalja ne mora da bude GTK nego moze i bilo koji programski jezik. A i ko je pomenuo kolacice?
Sesija moze da radi i ako su kolacici iskljuceni u browseru.
[ Makojdis @ 06.05.2002. 11:21 ] @
Koliko je siguran tForum, posto on u jednom fajlu recimo login.php ima upisano korisnicko ime i lozinku...
[ deki_bg @ 08.05.2002. 20:14 ] @
POMAGJTE...evo ovo sam ovako uradio:

<?php
include("file.php");
$aDoAuth=True;
if (isset($PHP_AUTH_USER))
{
if((md5($PHP_AUTH_USER) == $user) &&
(md5($PHP_AUTH_PW) == $pass))
{
$aDoAuth=False;
}
}
if( $aDoAuth == True)
{
Header ("WWW-Authenticate: Basic realm=\"deki\"");
Header ("HTTP/1.0 401 Unauthorized");
echo "nema str.";
exit;
}
?>


i kod mene sve radi (win2000+apache), medjutim kada prebacim na server(veratov-linux/apache) NE RADI. Zvao sam njihovi tehnicku podrsku i oni kazu da se to tako radi i da ne bi trebalo da ima problema..i eto ne mogu da mu pomognu......

Jel zna neko od vas zasto ovo kod njih ne radi a kod mene radi?????

[ NetMaster @ 08.05.2002. 22:29 ] @
Meni se cini da php treba da je instaliran kao Apache modul da bi ovo moglo da radi.

Pogledaj kod sebe pa na veratu phpinfo pa vidi jeli to?