[PHP-.htaccess] Eigen formulier gebuiken om in te loggen

[WimB]

Ik heb een directory beveiligd met een .htaccess bestand. Ik wil een formuliertje maken waarin de gebruiker zijn gebruikersnaam en paswoord ingeeft en ik wil dit formulier gebruiken ipv de standaard popup.

Als ik volgende php-code ingeef, dan geraak ik zonder problemen in de beveiligde map:

PHP:

?php
header("Location: http://gebruikersnaam:[e-mail]/beveiligdemap");
?>

Ik heb dan een formulier gemaakt waarin de gebruiker zijn gebruikersnaam en paswoord kan ingeven. Dit formulier wordt gepost naar redirect.php met volgende code:

PHP:

<?php
$hoofding = "Location: http://" . $username . ":" . $password . "@www.mijndomein.nl/beveiligdemap";
header($hoofding);
?>

Maar als ik het zo doe, dan blijft hij gebruikersnaam en paswoord vragen. En als ik $hoofding laat printen op mijn scherm, dan staat daar perfect in wat erin moet staan, namelijk:

code:

Location: http://gebruikersnaam:[e-mail]/beveiligdemap

Weet er iemand waarom hij dan toch nog het paswoord vraagt? Of is er een andere manier om dit probleem op te lossen.

[me1299]

Wat gebeurt er als je met javascript hem daarna redirect? Of met een HTML Meta refresh?

[Postman]

Ik vindt jouw manier ten eerste erg slecht. Je kunt nu net zo goed een PHP script maken waarmee je via get variabelen een password binnen krijgt. Waarom? Omdat je nu gewoon in je adresbalk je username + password hebt staan. Iemand hoeft maar mee te kijken en heeft dus jouw w8woord.

Ik zou persoonlijk op zoek gaan naar een andere manier. Maak bijv. gebruik van sessies en/of cookies. Plaats bij elke pagina een check of het cookie wel klopt (passwords wel MD5 minstens). Zo ja, toon pagina. Zo nee, geef foutmelding en/of stuur door naar inlogpagina.

[Spider.007]

kun je de serverlogs bekijken en posten om te bekijken wat het verschil is bekeken vanaf de server?

[WimB]

Met een META refresh werkt het perfect. Bedankt DeathKnight !!

Wat FlamerX zegt klopt niet. De gebruikersnaam en het paswoord worden direct uit de adresbalk gehaald (ze verschijnen er zelfs niet in). In ieder geval toch met IE6. Dus ik zie in mijn adresbalk netjes dit staan:

code:

http://www.mijndomein.nl/beveiligdemap

[ Voor 4% gewijzigd door WimB op 01-02-2003 21:46 ]

[WimB]

Spider.007 schreef op 01 February 2003 @ 21:44:
kun je de serverlogs bekijken en posten om te bekijken wat het verschil is bekeken vanaf de server?

Ik heb geen toegang tot de serverlogs, maar dit is gelukkig ook niet meer nodig. Toch bedankt voor de hulp.

[Postman]

Zolang ze er niet in verschijnen is het goed. Maar als ze wel worden getoond, maar zo kort dat je het niet ziet, is het wel gevaarlijker. Ik kan het zo niet 1-2-3 testen, maar ik zou toch eens kijken of er toevallig niet ergens wordt opgeslagen dat jij http://user:[e-mail] hebt gebruikt. IE slaat de raarste dingen op (check je register maar eens).
Wat wel blijft is dat htaccess is gemaakt om via dat scherm te werken, niet via een webpagina.

[Erkens]

kan je niet gewoon in $_SERVER["PHP_AUTH_USER"] je username zetten of blaat ik nu onzin

[Postman]

Erkens schreef op 01 February 2003 @ 23:15:
kan je niet gewoon in $_SERVER["PHP_AUTH_USER"] je username zetten of blaat ik nu onzin

Ik d8 dat je deze alleen kan gebruiken nadat je via dat prompt bent ingelogd (zodat je een dubbele check kunt maken ofzo, of een goede error pagina ipv een 500).
Mocht je die wel kunnen setten en daarna naar die pagina kunnen gaan dan zou het wel een goede oplossing zijn (samen met password natuurlijk).

[ Voor 3% gewijzigd door Postman op 02-02-2003 01:07 . Reden: Blaat! Onzin :P ]

[WimB]

Erkens schreef op 01 februari 2003 @ 23:15:
kan je niet gewoon in $_SERVER["PHP_AUTH_USER"] je username zetten of blaat ik nu onzin

Nee, dat had ik eerst geprobeerd. Omdat dat niet werkte, ben ik overgeschakeld naar de methode gebruikersnaam:paswoord@domein

[Verwijderd]

tsja, simpel FAQ vraagje eigenlijk: als je 'register_globals' op 'Off' hebt staan, kun je niet zomaar de $vars gebruiken, maar moet je de super-global $_POST gebruiken:

PHP:

Header("Location: http://" . $_POST['username'] . ":" .$_POST['password'] . "@www.mijndomein.nl/beveiligdemap");

[WimB]

Nee, dat heeft er niets mee te maken. In mijn openingspost staat er toch duidelijk:

En als ik $hoofding laat printen op mijn scherm, dan staat daar perfect in wat erin moet staan, namelijk.....

[Verwijderd]

WimB schreef op 02 February 2003 @ 10:03:
Nee, dat heeft er niets mee te maken. In mijn openingspost staat er toch duidelijk:

[...]

Ok ok, tis vroeg

Doe eens een 'echo $password' en kijk of daar wel het goede password in staat? 't zal nl. niet de eerste keer zijn dat een script vastloopt omdat een var niet bestaat of een verkeerde naam heeft

[WimB]

Heb ik allemaal al gedaan. Gebruikersnaam en paswoord zitten correct in de variabelen

[me1299]

WimB schreef op 02 February 2003 @ 10:16:
Heb ik allemaal al gedaan. Gebruikersnaam en paswoord zitten correct in de variabelen

Ja anders zou het met een meta refresh ook niet moeten werken.

Ik denk dat het gewoon iets met die php header te maken heeft, die wil nogal eens wat dingetjes niet goed pakken.