PHP MySQLi leren

[Verwijderd]

Hey programmeeraders op Tweakers,


Ik ben Jelmer 15 jaar, en ik beheer momenteel al de basis van PHP / MySQLi, maar ik loop vast bij het maken van een (goede) login systeem, weet iemand waar ik een goede (uptodate) php mysqli tutorial kan vinden? Het liefst natuurlijk gratis. Dit is namelijk omdat ik wel een simpele login systeem kan maken, maar dat wordt bijvoorbeeld niet encrypted, en wil een soort admin panel maken voor mijn website waar dan medewerkers wat dingen kunnen veranderen aan de website, verstand van SQL heb ik wel, dus ik weet wel hoe je een table enzo aanmaakt natuurlijk en wat varchars / timestamps zijn etc.

HTML / CSS is helemaal geen probleem, dat beheers ik (zo goed als). Dus mijn vraag is waar ik 't best PHP/MySQLi kan gaan leren zodat ik echt een goed beveiligd systeem kan gaan maken, en tijd is geen problemen. Nachten gaan eraan voor 't leren (nu ook al hoor hehe) maar ik vindt nu niet echt goede tutorials, en als ik ze vind dan is 't MySQL.

*snip*

De reden dat ik jullie hier om hulp vraag is omdat ik echt verschrikkelijk heb zitten stressen omdat 't niet lukte met het coden vannacht in mijn staff paneel hahha ;P Ook sorry voor mijn typ gebruik, dit is op mijn website natuurlijk wel helemaal geperfectioneerd haha. Slaaplekker!

Ik hoop dat iemand mij kan helpen met mijn vraag, alvast bedankt!
*snip*

[ Voor 11% gewijzigd door Creepy op 01-05-2016 19:50 . Reden: Hulp vragen voor buitenom het forum is niet de bedoeling.. ]

[Douweegbertje]

Ik vind het in elk geval heel goed van je dat je zelf doorhebt dat mysql als lib domweg niet meer kan anno 2016 maar of het nu de lib mysql of mysqli is maakt voor de basis niet uit. In feite het is een soort "wrapper" en kun je (zo goed als) dezelfde commands gebruiken. Dingen die niet werken kun je altijd nog googlen.

Echte goede guides zijn lastig te vinden, en de meeste mensen gaan toch echt over naar een compleet framework. Op zn minst gebruiken ze een wrapper voor mysqli (zoals: https://github.com/joshcam/PHP-MySQLi-Database-Class)
Hier staat ook zat in over hoe je het moet gebruiken!

Hoe je het nu het beste kunt leren is door toch beter te zoeken naar guides, echter helpt het ook door andermans werk te checken op github. Jij bent namelijk niet de enige die in php my mysqli een login systeem wilt

[ Voor 7% gewijzigd door Douweegbertje op 01-05-2016 10:04 ]

[laforte]

De vraag is "Hoe goed wil je het beveiligen?"

Je kan beginnen bij de gebruiker zelf, forceer de gebruiker sterke wachtwoorden te maken.

Tenminste 8 tekens lang, minimaal 1 hoofdletter/getal en teken (!@#$%^&*(()_+) etc.


Als we kijken naar het opslaan van de wachtwoorden: wachtwoorden nooit opslaan zonder goede encryptie.

Oude technieken zoals:

$password = 'swordfish';

$hash = md5($password); // Value: 15b29ffdce66e10527a65bc6d71ad94d

Zijn achterhaald en eenvoudig te ontcijferen, zoek dus een up-to-date systeem om je wachtwoorden mee te bewaren.


je zegt:

Dit is namelijk omdat ik wel een simpele login systeem kan maken, maar dat wordt bijvoorbeeld niet encrypted

Mijn mening: doe dit wel. Al is het maar een simpele encryptie zoals hash('sha512',$password);
Dan zijn ze niet direct af te lezen voor iedereen die toegang heeft tot de database. Wel zo eerlijk voor de mensen die in vertrouwen een wachtwoord maken op jouw website


Voor wat MySQLi betreft kijk eens op w3schools hier geven ze elke keer voorbeelden van MySQLi.

[Edwin88]

laforte schreef op zondag 01 mei 2016 @ 10:53:
Je kan beginnen bij de gebruiker zelf, forceer de gebruiker sterke wachtwoorden te maken.

Tenminste 8 tekens lang, minimaal 1 hoofdletter/getal en teken (!@#$%^&*(()_+) etc.

Het is beter om de gebruiker (via een plugin) bij het 'inschrijven' direct feedback te geven over de sterkte van zijn/haar password, en niet te forceren dat mensen tekens of cijfers enz gaan gebruiken. Daar word het wachtwoord namelijk cryptografisch niet sterker van, enkel lastiger te onthouden waardoor ze het gaan opschrijven of variaties van 1 wachtwoord gaan gebruiken.

Beter is het aan te raden langere!!! passwords te gebruiken, maar alsnog; niet forceren als je niet wilt dat je gebruikers gillend gek worden. Als iemand een wachtwoord zoals 'test' wilt invoeren; prima. Geef ze alleen wel de feedback dat dat niet veilig is, dan leren ze wellicht nog iets ipv constant errors dat hun wachtwoord geen speciaal teken bevat.

[ThomasG]

laforte schreef op zondag 01 mei 2016 @ 10:53:
De vraag is "Hoe goed wil je het beveiligen?"

Je kan beginnen bij de gebruiker zelf, forceer de gebruiker sterke wachtwoorden te maken.

Tenminste 8 tekens lang, minimaal 1 hoofdletter/getal en teken (!@#$%^&*(()_+) etc.


Als we kijken naar het opslaan van de wachtwoorden: wachtwoorden nooit opslaan zonder goede encryptie.

Oude technieken zoals:

[...]


Zijn achterhaald en eenvoudig te ontcijferen, zoek dus een up-to-date systeem om je wachtwoorden mee te bewaren.


je zegt:

[...]


Mijn mening: doe dit wel. Al is het maar een simpele encryptie zoals hash('sha512',$password);
Dan zijn ze niet direct af te lezen voor iedereen die toegang heeft tot de database. Wel zo eerlijk voor de mensen die in vertrouwen een wachtwoord maken op jouw website


Voor wat MySQLi betreft kijk eens op w3schools hier geven ze elke keer voorbeelden van MySQLi.

Hoofdletters en speciale tekens zijn niet belangrijk. De grootste factor voor de veiligheid van het wachtwoord is de lengte. Daarbij moet je natuurlijk altijd een salt gebruiken. Voor elke gebruiker, ieder keer dat zij hun wachtwoord veranderen, genereer je een nieuwe salt voor die gebruiker. Deze sla je gewoon plaintext op in de database, want het maakt niet uit als deze bekend is. Vervolgens stop je zowel het wachtwoord als de salt in het hashing algoritme. Voordeel hiervan is dat gebruikers met het zelfde wachtwoord niet de zelfde hash hebben, en eventuele rainbow tables vrijwel nutteloos zijn.

[BCC]

Voordat er een wachtwoordlenghte discussie losbarst waar de TS niets aanheeft: Er staan best wel goede tutorials op internet als je een beetje de goede termen gebruikt. Bijvoorbeeld deze: http://www.wikihow.com/Cr...n-Script-in-PHP-and-MySQL Ik heb hem even snel doorgelezen en voor zover ik kan zien doen ze de belangrijkste dingen goed

[ Voor 5% gewijzigd door BCC op 01-05-2016 11:27 ]

[Cartman!]

Even voorop: zoek op wat de verschillen zijn tussen hashing en encryption want die termen worden vaak door elkaar gehaald (laforte zegt het ook niet goed namelijk)

Het is goed zelf aan te rommelen om de basics te kennen maar ik denk dat je ook goed kunt kijken naar de bekende frameworks als Symfony & Laravel of hun micro-varianten die net iets meer low-level zijn: Silex en Lumen. Er is tegenwoordig met composer en packagist zoveel kant en klaar beschikbaar dat veel beter is dan je t zelf gaat kunnen maken. Gebruik die frameworks en libraries, kijk goed wat ze doen en dan ben je daarna vooral bezig met het bouwen van een site ipv enkel bezig met zijn met losse dingetjes.

[Verwijderd]

Hey bedankt voor alle antwoorden, ik heb inderdaad hash & encryption door elkaar gehaalt haha. Dit komt omdat ik zelf hier nog niet erg bekend mee ben.

Ik wil eigenlijk geen framework gebruiken, omdat ik 't juist doe om het te leren. Het maakt niet uit als het helemaal dicht is, als het maar gewoon een beetje veilig is dat bruteforce / sql injectie / xss attacks geen nut hebben, of met bruteforce heel lang. En ik weet al hoe je xss attacks tegen kan gaan, gewoon die string cutten en sql injectie weet ik ook al hoe je 't tegen kan gaan, maar ik weet niet hoe je bijv maakt dat als je 5x probeerd in te loggen je niet meer kan inloggen. Weet iemand dat ?

[Verwijderd]

BCC schreef op zondag 01 mei 2016 @ 11:23:
Voordat er een wachtwoordlenghte discussie losbarst waar de TS niets aanheeft: Er staan best wel goede tutorials op internet als je een beetje de goede termen gebruikt. Bijvoorbeeld deze: http://www.wikihow.com/Cr...n-Script-in-PHP-and-MySQL Ik heb hem even snel doorgelezen en voor zover ik kan zien doen ze de belangrijkste dingen goed

Als je mijn ticket had gelezen kon je zien dat ik geen MySQL wou, maar MySQLi. Want ook wat Douwe zei 'MySQL' is te oud! Echter wel bedankt voor het zoeken van een tutorial.

[azerty]

Verwijderd schreef op zondag 01 mei 2016 @ 22:12:
[...]

Als je mijn ticket had gelezen kon je zien dat ik geen MySQL wou, maar MySQLi. Want ook wat Douwe zei 'MySQL' is te oud! Echter wel bedankt voor het zoeken van een tutorial.

En moest je daadwerkelijk wat in die tutorial gescrolld hebben had je gezien dat ze mysqli_* gebruiken.

MySQL !== mysql_* functies

[Verwijderd]

azerty schreef op zondag 01 mei 2016 @ 22:15:
[...]


En moest je daadwerkelijk wat in die tutorial gescrolld hebben had je gezien dat ze mysqli_* gebruiken.

MySQL !== mysql_* functies

Oh niet gelezen, ik las MySQL en toen kapte ik al af haha sorry! Ik zal nu nog is kijken.

[Goudstalen]

Verwijderd schreef op zondag 01 mei 2016 @ 22:11:
... maar ik weet niet hoe je bijv maakt dat als je 5x probeerd in te loggen je niet meer kan inloggen. Weet iemand dat ?

In $_SESSION een variabele ophogen als iemand op inloggen klikt? En a.d.h. daarvan bepalen of een gebruiker mag inloggen? (Of eventueel het wachtwoord uit de database verwijderen, of hoe je het ook wilt doen)

[Amanush]

DGonlag2 schreef op zondag 01 mei 2016 @ 22:25:
[...]


In $_SESSION een variabele ophogen als iemand op inloggen klikt? En a.d.h. daarvan bepalen of een gebruiker mag inloggen? (Of eventueel het wachtwoord uit de database verwijderen, of hoe je het ook wilt doen)

code:

$_SESSION

Deze variabele wordt bepaald op basis van een door-de-gebruiker-gestuurde-variabele, namelijk een specifieke cookie met daarin een `session token` (of hoe je het ook wilt noemen`. Niet waterdicht, betekend dat ik nog steeds telkens weer een andere (of geen) cookie kan opsturen en de server compleet in de malen te nemen (never trust the client), (https://en.wikipedia.org/wiki/Defensive_programming).

[naam]

Verwijderd schreef op zondag 01 mei 2016 @ 22:12:
[...]

Als je mijn ticket had gelezen kon je zien dat ik geen MySQL wou, maar MySQLi. Want ook wat Douwe zei 'MySQL' is te oud! Echter wel bedankt voor het zoeken van een tutorial.

Deze tutorial gebruikt echter MySQLi. Verder ben ik het eens met BCC, deze tutorial ziet er aardig compleet uit.

[Barryvdh]

naam schreef op maandag 02 mei 2016 @ 08:18:
[...]

Deze tutorial gebruikt echter MySQLi. Verder ben ik het eens met BCC, deze tutorial ziet er aardig compleet uit.

Wat mij betreft een beetje overdreven. Waarom via Javascript je wachtwoord hashen? Als je gewoon een (gratis) SSL certificaat regelt, hoef je je niet druk te maken over het verzenden van je wachtwoord. Daarnaast ga je nu een SHA512 nogmals hashen met bcrypt. Dat wordt over het algemeen niet aangeraden.
Ook wordt het wachtwoord hashed met je useragent en opgeslagen in de sessie. Nu zou ik over het algemeen niet je wachtwoord in de sessie opslaan, maar ik denk niet dat session hijacking een probleem is als je cookies http-only + secure zijn, en je SSL gebruikt.. (En daarnaast ie je UserAgent ook te faken, dus als ze je cookie zouden sniffen, kunnen ze ook je UserAgent gebruiken)

Voor algemene informatie over PHP en 'hoe het hoort', check ook http://www.phptherightway.com/
Daar staat iig een sectie over Database en Password Hashing.

Gratis certificaat: https://letsencrypt.org/

[BCC]

Barryvdh schreef op maandag 02 mei 2016 @ 09:00:
[...]

Wat mij betreft een beetje overdreven. Waarom via Javascript je wachtwoord hashen? Als je gewoon een (gratis) SSL certificaat regelt, hoef je je niet druk te maken over het verzenden van je wachtwoord.

Ik zei ook niet voor niets dat hij redelijk ok was. Clientside encrypten van je wachtwoord omdat je er vanuit gaat dat er iemand ertussenin het SSL verkeer kan sniffen is tegenwoordig helemaal geen rare gedachte meer. Daarnaast zal menig beginner geen zin/geld/expertise hebben om een ssl certificaat te installeren op z'n gratis shared PHP hoster.

[Barryvdh]

BCC schreef op maandag 02 mei 2016 @ 09:21:
[...]

Ik zei ook niet voor niets dat hij redelijk ok was. Clientside hashen van je wachtwoord omdat je er vanuit gaat dat er iemand ertussenin het SSL verkeer kan sniffen is tegenwoordig helemaal geen rare gedachte meer. Daarnaast zal menig beginner geen zin/geld/expertise hebben om een ssl certificaat te installeren op z'n gratis shared PHP hoster.

Oké, stel dat iemand je verkeer afluistert, dan zien ze inderdaad niet je echte wachtwoord, maar wel je wachtwoord hash. Het enige wat de aanvaller dan moet doen, is die hash direct te sturen naar het login script, in plaats van dat stukje javascript gebruiken..

Als je het echt veilig wil doen maar geen SSL wil installeren, kan je net zo goed bij voorbaat al stoppen...

[Oid]

Waarom kijk je niet naar PHP frameworks?

Uiteraard heeft iedereen zijn voorkeur zelf gebruik ik regelmatig Laravel. Maar is zijn ook andere alternatieven, denk aan: symfony, zend framework, yii, codeigniter.

[Edwin88]

Ik denk vooral dat een PHP inlog systeem niet de beste plek is om PHP/SQL onder de knie te krijgen. Ga inplaats daarvan eens een simpele app of CMS of todo list manager of noemhetmaarop maken, en als je dan eenmaal wat meer code getikt hebt kun je nog eens kijken naar een inlog script.

Bovendien, een fancy inlog systeem aanleren... Tegenwoordig gebruik je daar een API met JSON web tokens of OAuth voor als je dat veilig en efficient wilt doen... De web wereld schuift steeds meer naar API based backends (evt in PHP) en javascript based front-ends, wellicht is het interessanter om daar tijd in te stoppen?

[Barryvdh]

Oid schreef op maandag 02 mei 2016 @ 10:47:
Waarom kijk je niet naar PHP frameworks?

Uiteraard heeft iedereen zijn voorkeur zelf gebruik ik regelmatig Laravel. Maar is zijn ook andere alternatieven, denk aan: symfony, zend framework, yii, codeigniter.

Verwijderd schreef op zondag 01 mei 2016 @ 22:11:
Hey bedankt voor alle antwoorden, ik heb inderdaad hash & encryption door elkaar gehaalt haha. Dit komt omdat ik zelf hier nog niet erg bekend mee ben.

Ik wil eigenlijk geen framework gebruiken, omdat ik 't juist doe om het te leren. Het maakt niet uit als het helemaal dicht is, als het maar gewoon een beetje veilig is dat bruteforce / sql injectie / xss attacks geen nut hebben, of met bruteforce heel lang. En ik weet al hoe je xss attacks tegen kan gaan, gewoon die string cutten en sql injectie weet ik ook al hoe je 't tegen kan gaan, maar ik weet niet hoe je bijv maakt dat als je 5x probeerd in te loggen je niet meer kan inloggen. Weet iemand dat ?

Aan de ene kant is het wel goed om het zelf te leren met 'plain php', zodat je zelf beter begrijpt wat er aan de achterkant precies gebeurd. Aan de andere kant is het wel verstandig om ook naar frameworks te kijken, aangezien de ontwikkelaars daarachter veel meer ervaring hebben over het algemeen en er juist veel best-practices toegepast worden. Ook voor zaken waar je zelf misschien helemaal nog niet aan gedacht hebt.

[Cartman!]

Verwijderd schreef op zondag 01 mei 2016 @ 22:11:
Ik wil eigenlijk geen framework gebruiken, omdat ik 't juist doe om het te leren.

Van frameworks kun je juist zoveel leren omdat zij t op de goede manier doen itt de honderden tutorials die je gaat vinden.

Het maakt niet uit als het helemaal dicht is, als het maar gewoon een beetje veilig

Die twee matchen niet echt met elkaar

is dat bruteforce / sql injectie / xss attacks geen nut hebben, of met bruteforce heel lang. En ik weet al hoe je xss attacks tegen kan gaan, gewoon die string cutten

String cutten

en sql injectie weet ik ook al hoe je 't tegen kan gaan

Hoe dan? Je begint je TS dat je graag Mysqli wil leren

maar ik weet niet hoe je bijv maakt dat als je 5x probeerd in te loggen je niet meer kan inloggen. Weet iemand dat ?

Dat zijn dingen die je in een framework ook gewoon zelf kunt doen. Ga niet de fout maken die (met name vele) PHP-ers maken: zelf het wiel willen uitvinden. Ga kijken naar hoe de grote jongens het doen, leer ermee werken en bouw daar bovenop de dingen die je mist pas

[Montaner]

BCC schreef op zondag 01 mei 2016 @ 11:23:
Voordat er een wachtwoordlenghte discussie losbarst waar de TS niets aanheeft: Er staan best wel goede tutorials op internet als je een beetje de goede termen gebruikt. Bijvoorbeeld deze: http://www.wikihow.com/Cr...n-Script-in-PHP-and-MySQL Ik heb hem even snel doorgelezen en voor zover ik kan zien doen ze de belangrijkste dingen goed

Dit doet wel pijn aan de ogen

PHP:

<knip>
                if (hash_equals($login_check, $login_string) ){
                    // Logged In!!!! 
                    return true;
                } else {
                    // Not logged in 
                    return false;
                }
            } else {
                // Not logged in 
                return false;
            }
        } else {
            // Not logged in 
            return false;
        }
    } else {
        // Not logged in 
        return false;
    }
}

Dit is wat prettiger...

PHP:

                if (hash_equals($login_check, $login_string) ){
                    // Logged In!!!! 
                    return true;
                }
            }
        }
    }
    return false;
}

[DJMaze]

Verwijderd schreef op zondag 01 mei 2016 @ 22:11:
maar ik weet niet hoe je bijv maakt dat als je 5x probeerd in te loggen je niet meer kan inloggen. Weet iemand dat ?

Dat kan op verschillende manieren.

• Een bepaald IP adres mag maar N keer proberen (werkt niet bij TOR en andere wisselende IP adressen)
• Een specifieke gebruikersnaam mag maar N keer proberen

[BCC]

Cartman! schreef op maandag 02 mei 2016 @ 21:19:
[...]

Van frameworks kun je juist zoveel leren omdat zij t op de goede manier doen itt de honderden tutorials die je gaat vinden.

Niet mee eens. Mensen leren het beste door fouten te maken, dus een website bouwen en gehackt worden is verdraaid leerzaam. Zolang je zorgt dat het gecontroleerd 'fout' kan gaan, is de TS imho super goed bezig

[ajakkes]

DJMaze schreef op dinsdag 03 mei 2016 @ 11:12:
[...]

Dat kan op verschillende manieren.

• Een bepaald IP adres mag maar N keer proberen (werkt niet bij TOR en andere wisselende IP adressen)
• Een specifieke gebruikersnaam mag maar N keer proberen

Het kan dus maar op 1 manier, gebruikersnaam mag maar 5x een wachtwoord proberen.

Tenzij je gebruikersnaam bruteforce wil voorkomen. Dan zou je iets kunnen proberen op finger printing. Bijvoorbeeld om te voorkomen dat ik een lijst van tweakers.net gebruikersnamen download en met elke gebruikersnaam en wachtwoord Welkom01 probeer in te loggen. Maar denk niet dat dit al veel gedaan wordt.

[Cartman!]

BCC schreef op dinsdag 03 mei 2016 @ 11:18:
[...]

Niet mee eens. Mensen leren het beste door fouten te maken, dus een website bouwen en gehackt worden is verdraaid leerzaam. Zolang je zorgt dat het gecontroleerd 'fout' kan gaan, is de TS imho super goed bezig

Daar zit het probleem dan ook, je test dan alleen op de dingen die je zelf weet terwijl hackers zoveel meer methoden kennen dan jij in je eentje. Jij denkt dat het veilig is omdat jij 3 dingen gecheckt hebt terwijl er misschien wel 100.000 dingen te verzinnen zijn.

[Hydra]

laforte schreef op zondag 01 mei 2016 @ 10:53:
De vraag is "Hoe goed wil je het beveiligen?"

Je kan beginnen bij de gebruiker zelf, forceer de gebruiker sterke wachtwoorden te maken.

Tenminste 8 tekens lang, minimaal 1 hoofdletter/getal en teken (!@#$%^&*(()_+) etc.

Zucht.

https://xkcd.com/936/

[laforte]

Hydra schreef op dinsdag 03 mei 2016 @ 16:55:
[...]


Zucht.

https://xkcd.com/936/

Ok dus blijkbaar is iedereen van mening om maar een simpel wachtwoord toe te laten zoals "1234" zonder hash/encryptie? Want ts is niet van plan dit te gaan gebruiken...

[Verwijderd]

Bedankt voor alle hulp mensen! Ik ga er mee aan de slag. Toevallig dat mijn wachtwoord ook vroeger ook altijd op alles welkom01 was hahaha! Nu is dat inmiddels allemaal al veranderd.

[Lye]

laforte schreef op dinsdag 03 mei 2016 @ 21:42:
[...]


Ok dus blijkbaar is iedereen van mening om maar een simpel wachtwoord toe te laten zoals "1234" zonder hash/encryptie? Want ts is niet van plan dit te gaan gebruiken...

Volgens mij heeft TS nergens aangegeven geen password hashing te willen gebruiken. Wel is aangegeven de techniek niet onder de knie te hebben, waarvoor dit topic.
Verder is aangegeven dat lengte van een wachtwoord belangrijk is, daarom zal -hopelijk- niemand hier "1234" als correct wachtwoord beschouwen. Een minimale wachtwoord lengte van 12 is bijvoorbeeld een stuk sterker dan een wachtwoord met 8 tekens, met minimaal één cijfer, één symbool en verder random grut. Zelfs als het lange wachtwoord alleen lowercase alfabetische karakters gebruikt.

[Hydra]

laforte schreef op dinsdag 03 mei 2016 @ 21:42:
Ok dus blijkbaar is iedereen van mening om maar een simpel wachtwoord toe te laten zoals "1234" zonder hash/encryptie? Want ts is niet van plan dit te gaan gebruiken...

Lever alsjeblieft je programmeerpasje in bij de dichtsbijzijnde balie. Dat is namelijk compleet niet wat daar staat of wat ik zeg.