[PHP] Login script werkt niet

[GekkeCoen]

Goededag,

Een login script die ik gebruik wilt niet werken. Het is als volgd, het inloggen lukt wel maar zodra je naar de volgende pagina wordt verstuurd ben ik niet meer ingelogd. Als ik dan vervolgens terug de pagina vernieuwd en opnieuw inlogt werkt het wel.

Inlog pagina:

PHP:

        <?
        session_start();
        db_connect();
        if ($HTTP_POST_VARS['gebruikersnaam'] && $HTTP_POST_VARS['wachtwoord'])
        {
            $gebruikersnaam = $HTTP_POST_VARS['gebruikersnaam'];
            $wachtwoord = $HTTP_POST_VARS['wachtwoord'];
            $query = "SELECT user_id, gebruikersnaam, wachtwoord FROM `gebruikers` WHERE gebruikersnaam = '$gebruikersnaam' AND wachtwoord = '$wachtwoord'";
            $sql = mysql_query($query) or die ( mysql_error( ) );
                if (mysql_num_rows($sql) >= 1)
                {
                    while($record = mysql_fetch_assoc($sql)) {
                        $sess_id = $record['user_id'];
                        $sess_gebruikersnaam = $record['gebruikersnaam'];
                
                        session_register(sess_user_id);
                        session_register(sess_gebruikersnaam);
                    }
                    echo "Je bent nu ingelogd. Klik <a href=\"beheerpaneel.php\">hier</a> om verder te gaan.<br /><br />\n";
                }
            else
            {
                echo "Verkeerde gebruikersnaam of wachtwoord.<br />";
                echo "Ga <a href=\"$PHP_SELF\">terug</a> en probeer het opnieuw.";
            }
        }
        else
        {
    ?>
            <form method="POST" action="<? $PHP_SELF ?>">
                <table>
                <tr><td>Gebruikersnaam</td><td><input type="text" name="gebruikersnaam"></td></tr>
                <tr><td>Wachtwoord</td><td><input type="password" name="wachtwoord"></td></tr>
                <tr><td>&nbsp;</td><td><input type="submit" name="submit" value="Login"></td></tr>
                </table>
            </form>
    <?
    }
    ?>

En hier de beveiligde pagina:

PHP:

<?
session_start();
if (session_is_registered("sess_gebruikersnaam") && session_is_registered("sess_user_id"))
{
?>
    Hier de inhoud van de pagina als je ingelogd bent.
<?
    }
    else {
        echo "U bent niet ingelogd.";
    }
?>

Hier is eventueel nog een online voorbeeld: Klik!

Gebruikersnaam: demo
Wachtwoord: demo

Met vriendelijke groeten,
Coen Keijzer

[doeternietoe]

Waarom maak je eigenlijk geen gebruik van de $_SESSION-array? Ik weet dat het geen antwoord op je vraag is, maar op die manier hoef je nooit de session_register() te gebruiken.

[bRight]

Dat komt doordat je browser blijkbaar geen cookies accepteert van deze domeinnaam.
Oplossing:
Ga naar Tools > Internet options > Security > Trusted websites > klik op 'Sites'
Hier vul je *.linkstraat.nl in.
Vink het https vinkje uit en klik op Add

Als het goed is wordt je cookie nu wel geaccepteerd.

[mithras]

PHP:

session_register(sess_user_id);
session_register(sess_gebruikersnaam);

Moeten daar geen quotes?

En wat doeternietoe zegt: gebruik je $_SESSION, en geen session_register

bRight schreef op woensdag 11 oktober 2006 @ 17:51:
Dat komt doordat je browser blijkbaar geen cookies accepteert van deze domeinnaam.
Oplossing:
Ga naar Tools > Internet options > Security > Trusted websites > klik op 'Sites'
Hier vul je *.linkstraat.nl in.
Vink het https vinkje uit en klik op Add

Als het goed is wordt je cookie nu wel geaccepteerd.

Er wordt geen koekje gezet, dus problemen met cookies heb je dan ook niet

[ Voor 57% gewijzigd door mithras op 11-10-2006 17:55 ]

[bRight]

Als ik hem toevoeg aan trusted websites doetie het wel en anders niet..

[Verwijderd]

Mithras86 schreef op woensdag 11 oktober 2006 @ 17:54:
Er wordt geen koekje gezet, dus problemen met cookies heb je dan ook niet

Sessies in php werken standaard toch met cookies om de sessie-id door te geven? Php kan dat ook met een GET-variabele doen, maar doet dat niet standaard.

session_register is inderdaad iets van vroeger, net als $HTTP_POST_VARS. Komt de code uit een boek, van een website of heb je deze zelf geschreven?

[GekkeCoen]

Verwijderd schreef op woensdag 11 oktober 2006 @ 18:02:
session_register is inderdaad iets van vroeger, net als $HTTP_POST_VARS. Komt de code uit een boek, van een website of heb je deze zelf geschreven?

Ja, het is een oud script. Maar ik heb er eigelijk niks aan als elke bezoeker hem elke keer bij trusted website's moet zetten. Is er geen andere oplossing?

[Japidoff]

volgens mij is je query ook niet helemaal veilig...

zoek eens op SQL injection met google..

[sQuarecoW]

Is het niet omdat je bij de beveiligde pagina weer session_start(); aanroept?

Daarbij, waar komen sess_user_id en sess_gebruikersnaam ineens vandaan?

PHP:

$sess_id = $record['user_id']; 
$sess_gebruikersnaam = $record['gebruikersnaam']; 
                 
session_register(sess_user_id); 
session_register(sess_gebruikersnaam);

[ Voor 64% gewijzigd door sQuarecoW op 11-10-2006 18:15 ]

[mithras]

Mithras86 schreef op woensdag 11 oktober 2006 @ 17:54:

PHP:

session_register(sess_user_id);
session_register(sess_gebruikersnaam);

Moeten daar geen quotes?

Mm, my bad. Maar er zit nog veel meer los:
• Je zet een variabele $sess_id maar zet de variabele sess_user_id als sessie (!!!)
• Voor een variabele (ook met session_register) hoort een dollar sign ($)
• Je gebruikt HTTP_POST_VARS
• Je sql is niet veilig. Zoals gezeg, sql injection is goed mogelijk. Maar escape om te beginnen je characters voor mysql

Maak er gewoon iets van als

PHP:

$_SESSION['id']=$sess_id;
$_SESSION['username']=$sess_gebruikersnaam;

[NMe]

Ga je code eens netjes refactoren en maak hem eens up to date. $HTTP_POST_VARS is een global en geen superglobal, grote kans dat het daar al mee mis gaat. Deze code is zo bejaard dat ie sinds register_globals gewoon niet meer werkt, blijkbaar.

[Helmet]

sQuarecoW schreef op woensdag 11 oktober 2006 @ 18:13:
Is het niet omdat je bij de beveiligde pagina weer session_start(); aanroept?

Daarbij, waar komen sess_user_id en sess_gebruikersnaam ineens vandaan?

PHP:

$sess_id = $record['user_id']; 
$sess_gebruikersnaam = $record['gebruikersnaam']; 
                 
session_register(sess_user_id); 
session_register(sess_gebruikersnaam);

nee; session_start(); moet aangeroepen worden op elke pagina waar je gebruik wil maken van de sessie (afaik)

[Rigi]

Helmet schreef op woensdag 11 oktober 2006 @ 18:18:
[...]


nee; session_start(); moet aangeroepen worden op elke pagina waar je gebruik wil maken van de sessie (afaik)

Dat heb ik ook altijd begrepen en zo geschreven.
http://nl3.php.net/session_start :
"session_start() creates a session or resumes the current one based on the current session id that's being passed via a request, such as GET, POST, or a cookie."

[Verwijderd]

Probeer dit eens:

De controlepagina die na de inlogpagina komt:

PHP:

<?php session_start(); ?>
<html>
<body>
// etc
<?php
$_SESSION['username'] = $_POST['username'];
$_SESSION['password'] = $_POST['password'];

// controleer in de database of
// 1. username bestaat 
// 2. password matched
// en als dat zo is dan
$_SESSION['toegang'] = 'binnen';
?>

Dan in de overige pagina's dit in de header opnemen.

PHP:

<?php session_start();
$username = $_SESSION['username'];
$password = $_SESSION['password'];
$toegang = $_SESSION['toegang'];
if ($toegang != binnen) header("Location: login.php"); 
?>

[Verwijderd]

Verwijderd schreef op woensdag 11 oktober 2006 @ 19:21:

PHP:

$_SESSION['username'] = $_POST['username'];
$_SESSION['password'] = $_POST['password'];

Nooit doen. Alle variabelen die in $_SESSION staan, zijn daar in geplaatst toen je er controle op had. Dat kun je dus gebruiken om niet nodeloos veel checks in je code te hoeven inbouwen. Controleer dus of de username en password uit $_POST klopt, en als dat is, zef je alleen de relevante gegevens in $_SESSION, bijvoorbeeld een userID of iets dergelijks.

Er is in dit geval ook geen enkele reden om het wachtwoord ergens anders op te slaan dan in de database, die heb je in de $_SESSION helemaal niet nodig. Je hoeft alleen maar te controleren of er in $_SESSION de userID is ingesteld. Als dat zo is is er in principe geen verdere check meer nodig. En er staan meteen geen gegevens meer op plaatsen waar ze niet horen/hoeven staan.

[Verwijderd]

Verwijderd schreef op woensdag 11 oktober 2006 @ 19:21:
Dan in de overige pagina's dit in de header opnemen.

PHP:

<?php session_start();
$username = $_SESSION['username'];
$password = $_SESSION['password'];
$toegang = $_SESSION['toegang'];
if ($toegang != binnen) header("Location: login.php"); 
?>

Dan doe je alles zo netjes, maar toch een klein foutje helaas .

Om binnen bij je if-lus zou ik toch echt quotes zetten.

[Verwijderd]

Verwijderd schreef op woensdag 11 oktober 2006 @ 19:39:

Om binnen bij je if-lus zou ik toch echt quotes zetten.

En toch maar een exit(); uitvoeren nadat je een location header stuurt.

[Verwijderd]

Verwijderd schreef op woensdag 11 oktober 2006 @ 19:55:
[...]

En toch maar een exit(); uitvoeren nadat je een location header stuurt.

Dat kan ja, of een else statement toevoegen .

[Verwijderd]

Argh, the kritisch die tweakers

Maar jullie hebben gelijk. Username en pass heb je niet meer nodig dus is nutteloos. De single quotes misten ook al en een else ook nog . Bij deze dus:

De controlepagina die na de inlogpagina komt:

PHP:

<?php session_start(); ?>
<html>
<body>
// etc
<?php
// controleer in de database of
// 1. username bestaat 
// 2. password matched
// en als dat zo is dan
$_SESSION['toegang'] = 'binnen';
?>

Dan in de overige pagina's dit in de header opnemen.

PHP:

<?php session_start();
$toegang = $_SESSION['toegang'];
if ($toegang != 'binnen') header("Location: login.php"); 
else { header("Location: wohoooo.php"); }
?>

* Schoonheidsfoutjes & typos voorbehouden

[Verwijderd]

Helmet schreef op woensdag 11 oktober 2006 @ 18:18:
[...]


nee; session_start(); moet aangeroepen worden op elke pagina waar je gebruik wil maken van de sessie (afaik)

Volgens mij zit het probleem in je session register, je doet:

PHP:

$sess_id = blabla;
session_register(sess_user_id);

// wat volgens mij moet zijn:

session_register(sess_id);

Misschien was je al zover, maar zag het nog niet terug komen.

[mithras]

Mithras86 schreef op woensdag 11 oktober 2006 @ 18:16:
[...]
• Je zet een variabele $sess_id maar zet de variabele sess_user_id als sessie (!!!)
[...]

Maar de TS moet het scriptje gewoon vanaf de grond opnieuw opbouwen. Geen ramp, het is maar een paar regels, en als je kijkt naar de 100'en tips die al in dit topic staan kom je er echt wel uit

[TeeDee]

Zoals Japidoff al zei: kijk ook eens naar SQL Injection.

[GekkeCoen]

Bedankt voor alle tips! Ik ben inmiddels met een nieuwe begonnen. Maar ik heb nog een klein vraagje tussendoor, is het ook mogelijk om een sessie af te printen? Het volgende werkt namelijk niet.

PHP:

<?
echo $_SESSION['user_id'];
?>

[Verwijderd]

Dat zou wel moeten werken hoor. Door je wel netjes 'session_start()' bovenaan die pagina?

[moozzuzz]

Dan is ie leeg... (want het is wel mogelijk!)

[GekkeCoen]

moozzuzz schreef op donderdag 12 oktober 2006 @ 17:43:
Dan is ie leeg... (want het is wel mogelijk!)

Ja, volgens mij ook. Maar ik snap niet waarom. Dit is de code van de pagina ervoor waar de sessie's worden aangemaakt:

PHP:

<?
$user_id = $record['user_id'];
$_SESSION['user_id'] = '$user_id';
?>

De variabel $user_id klopt, dit hebt ik gecontroleert d.m.v. het af te printen.

[TeeDee]

mijn PHP kennis is zeeeer gering, maar moet dat niet:

PHP:

$_SESSION['userid'] = $user_id; 
//waarom niet meteen $_SESSION['userid'] = $record['user_id']

zijn?

Verder zoals Verwijderd in "[PHP] Login script werkt niet" zegt, maar daar geef je geen antwoord op

[ Voor 11% gewijzigd door TeeDee op 12-10-2006 18:04 ]

[GekkeCoen]

Ik heb weer even zitten expirimenteren en de sessie wordt wel geregistreerd. Maar zodra er na de volgende pagina wordt gegaan wordt hij waarschijnlijk verbroken of het ligt aan iets anders.

Code waar de sessie verzonden wordt:

PHP:

<?
$_SESSION['user_id'] = $record['user_id'];
echo "U bent ingelogd, ga door naar het <a href=\"beheerpaneel.php\">Beheer paneel</a>.";
?>

En de pagina beheerpaneel:

PHP:

<?
session_start();
if(isset($_SESSION['user_id'])) {
echo "U bent ingelogd.";
}
else {
echo "U bent niet ingelogd.";
}
?>

Ik zie iets over het hoofd, maar wat?

TeeDee schreef op donderdag 12 oktober 2006 @ 18:02:
mijn PHP kennis is zeeeer gering, maar moet dat niet:

PHP:

$_SESSION['userid'] = $user_id; 
//waarom niet meteen $_SESSION['userid'] = $record['user_id']

zijn?

Verder zoals Verwijderd in "[PHP] Login script werkt niet" zegt, maar daar geef je geen antwoord op

Ja dat kan ook, maar ik heb die $user_id vaker nodig en dat is een variabel handiger (t is korter en je hoefd minder aan te passen als er iets veranderd).

[NMe]

/me zucht *

Lees de FAQ voor de grap een keer.

[GekkeCoen]

-NMe- schreef op donderdag 12 oktober 2006 @ 19:02:
/me zucht *

Lees de FAQ voor de grap een keer.

Oops ik had de oude code in me post gezet: Dit is de nieuwe (wat ook niet werkt) van beheerpaneel.php:

PHP:

<?
session_start();
if(isset($_SESSION['user_id'])) {
echo "U bent ingelogd.";
}
else {
echo "U bent niet ingelogd.";
}
?>

[Verwijderd]

Hoe ziet de code uit de vorige pagina er uit?

[KO]

GekkeCoen schreef op donderdag 12 oktober 2006 @ 19:12:
[...]


Oops ik had de oude code in me post gezet: Dit is de nieuwe (wat ook niet werkt) van beheerpaneel.php:

* KO heeft dat ook eens gehad, toen hielp alleen het opnieuw installeren van PHP nog
Wat je ook kan doen is het sessie id in de url meegeven.

[Verwijderd]

GekkeCoen schreef op donderdag 12 oktober 2006 @ 19:12:
[...]


Oops ik had de oude code in me post gezet: Dit is de nieuwe (wat ook niet werkt) van beheerpaneel.php:
[code]

Okè...en nu de code van de pagina waar je een waarde toekent aan $_SESSION['user_id'] ?

[GekkeCoen]

Verwijderd schreef op vrijdag 13 oktober 2006 @ 16:32:
[...]

Okè...en nu de code van de pagina waar je een waarde toekent aan $_SESSION['user_id'] ?

PHP:

    <?
    db_connect();
    if(isset($_POST['submit'])) {
        $gebruikersnaam = $_POST['gebruikersnaam'];
        $wachtwoord = $_POST['wachtwoord'];
        $query = "SELECT `user_id`, `gebruikersnaam`, `wachtwoord` FROM `gebruikers` WHERE gebruikersnaam = '$gebruikersnaam' AND wachtwoord = '$wachtwoord'";
        $sql = mysql_query($query) or die(mysql_error());
        $aantal = mysql_num_rows($sql);
        if($aantal == 0){
            echo"De ingevoerde gebruikersnaam en of wachtwoord klopt niet.";
        }
        else {
            while($record = mysql_fetch_assoc($sql)) {
                $_SESSION['user_id'] = $record['user_id'];

                echo "U bent ingelogd, ga door naar het <a href=\"beheerpaneel.php\"  title=\"Beheer paneel\">Beheer paneel</a>.";
            }
        }
    }
    else {
    ?>
        <form method="POST" action="<? $PHP_SELF ?>">
            <table>
            <tr><td>Gebruikersnaam</td><td><input type="text" name="gebruikersnaam"></td></tr>
            <tr><td>Wachtwoord</td><td><input type="password" name="wachtwoord"></td></tr>
            <tr><td>&nbsp;</td><td><input type="submit" name="submit" value="Login"></td></tr>
            </table>
        </form>
    <?
    }
    ?>

[crisp]

Ja dat kan ook, maar ik heb die $user_id vaker nodig en dat is een variabel handiger (t is korter en je hoefd minder aan te passen als er iets veranderd).

Als jij ergens $user_id = 0 doet en register_globals staat aan dan is het niet raar dat $_SESSION['user_id'] opeens ook 0 is; check dus even of het niet door zoiets komt

[Verwijderd]

Hmm, zie ik het nu goed? Geen session_start(); bovenaan die pagina? Dan gebeurt er natuurlijk vrij weinig .

[GekkeCoen]

crisp schreef op vrijdag 13 oktober 2006 @ 16:48:
[...]

Als jij ergens $user_id = 0 doet en register_globals staat aan dan is het niet raar dat $_SESSION['user_id'] opeens ook 0 is; check dus even of het niet door zoiets komt

Nee dat is het niet, want als ik de sessie afprint op de inlogpagina (bij de code: echo "U bent ingelogd, ga door naar het <a href=\"beheerpaneel.php\" title=\"Beheer paneel\">Beheer paneel</a>.";) dan wordt hij goed weergegeven. De session wordt dus goed aangemaakt en de inhoud klopt ook. Alleen als je naar een andere pagina gaat wordt hij verwijderd.

Verwijderd schreef op vrijdag 13 oktober 2006 @ 16:51:
Hmm, zie ik het nu goed? Geen session_start(); bovenaan die pagina? Dan gebeurt er natuurlijk vrij weinig .

session_start(); staat al op die pagina, maar ik ga natuurlijk niet heel de pagina posten.

[Verwijderd]

Oops, sorry .

Print die sessie op diezelfde pagina eens, om te kijken of 'ie daar wel goed is?

[GekkeCoen]

Verwijderd schreef op vrijdag 13 oktober 2006 @ 17:35:
Oops, sorry .

Print die sessie op diezelfde pagina eens, om te kijken of 'ie daar wel goed is?

Op welke pagina bedoel je? Bij de pagina index.php (waar ingelogd wordt) wordt hij wel goed afgeprint. Maar zodra je doorklikt naar beheerpaneel.php is de sessie weg.