скрипт - "Кто онлаин"

[Kevin McLean]

Идея такова:
при каждом лог ине пользователя, его сессия и ник сохраняется в базе данных на 10 минут, после удаляется

<?php 



 include ('connection.php'); 

     

    // create query 

   

$m_nick=addslashes($_POST[nick]);

 $query = "SELECT * FROM `test` WHERE `nick` = '".$m_nick."' AND `passward` = '{$_POST['passward']}'"; 

     

    // execute query 

    $result = mysql_query($query) or die ("Error in query: $query. " . mysql_error()); 

     

    // see if any rows were returned 

    if (mysql_num_rows($result) == 1) { 

        // if a row was returned 

        // authentication was successful 

        // create session and set сoоkiе with username 

        session_start(); 

        $_SESSION['auth'] = 1; 

        $_SESSION['login'] = $_POST['nick']; 

        setcoоkie("username", $_POST['nick'], time()+(84600*30)); 

        $infa = mysql_fetch_assoc($result);

        $session=session_id();
        $time=time();
        $time_check=$time-600;

        /* сохраняем всю информацию о пользователе в сессии - прим. L.P.M. */

        $_SESSION['userdata'] = $infa;

        /* конец - L.P.M. */
$kto = $_SESSION['userdata']['nick'];

$tbl_name="user_online";
$sql="SELECT * FROM $tbl_name WHERE session='$session'";
$result=mysql_query($sql);

$count=mysql_num_rows($result);

if($count=="0"){
$sql1="INSERT IGNORE INTO $tbl_name(session, time, nick)VALUES('$session', '$time', $kto)";
$result1=mysql_query($sql1);
}
else {
"$sql2=UPDATE $tbl_name SET time='$time' WHERE session = '$session'";
$result2=mysql_query($sql2);
}

$sql3="SELECT * FROM $tbl_name";
$result3=mysql_query($sql3);

$count_user_online=mysql_num_rows($result3);
 

// if over 10 minute, delete session 
$sql4="DELETE FROM $tbl_name WHERE time<$time_check";
$result4=mysql_query($sql4);

mysql_close();



       

$page_title = 'Вход в личную страницу';

include('header.php'); 

        print '

    <meta http-equiv=Refresh 

    content="0; URL=/menu.php">

';

exit();



if (isset($_POST['nick']) || isset($_POST['passward'])) { 

    // form submitted 

    // check for required values 

    if (empty($_POST['nick'])) { 

        die ("Пожалуйста, введите свое имя"); 

    } 

    if (empty($_POST['passward'])) { 

        die ("Пожалуйста, введите пароль"); 

    } 





    } 

    else { 

        // no result 

        // authentication failed 

        echo "Неверное имя пользователя или пароль"; 

    } 

     

    // free result set memory 

    mysql_free_result($result); 

     

    // close connection 

    mysql_close($connection); 

} 

else { 

    // no submission 

    // display login form 

?> 

    <? include('header.php'); ?>

    <center> 

    <form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>"> 

    Имя: <input type="text" name="nick" value="<?php echo $_coоkie['username']; ?>"> 



    Пароль: <input type="password" name="passward"> 



    <input type="submit" name="submit" value="Войти"> <br>
    <a href='forgot.php'>Забыли пароль?</a>

    </center> 

   

   

<?php 

} 



?> 





</p>









<? include('footer.php'); ?>

Проблема у меня в следующем, данные о сессии почему-не сохраняются в базе данных user_online
Помогите пожалуйста разобраться

@темы: MySQL, PHP

Comments

[Джей Ди]

Тыдыщ. Сейчас попробую разобраться.

Запустить не могу, нет кучи файлов, а мейкать таблицы лень. Вероятно проблема в
$sql1="INSERT IGNORE INTO $tbl_name(session, time, nick)VALUES('$session', '$time', '$kto')"; - $kto строка

P.S. Я так понимаю этот код - есть некий ПРИМЕР авторизации? Я бы не советовал использовать его в практических целях...
P.P.S. Если нужно смотреть кто в онлайне, то лучше генерить таблицу с IP пользователей. Будет показывать и количество гостей.

[--==SS==--]

Oh mein Gott, где вы этот код нашли? o_O Он просто ужасен; а первоначальный автор явно ничего не понимает ни в вопросах безопасности, ни в программировании вообще, ни в PHP с SQL в частности...
Код после exit(), кстати, выполняться никогда не будет.
В общем, это лучше написать заново самостоятельно. Как у вас вообще идёт авторизация? Сессиями?

[Джей Ди]

--==SS==-- ну как пример он вполне может использоваться... однако некоторые моменты остаются для меня в тумане, например, зачем хранить идентификатор сессии в таблице.

P.S. А passward - это для запутывания хакеров. =)

[--==SS==--]

Волчонок Джей
Это ж каким тупым должен быть хакер, чтобы не посмотреть HTML и найти там это «passward»? ))) Вывод пользователю mysql_error() тоже первоклассная защита, особенно после того, как ник экранируется, а на «пассвард» забивают болт. )) mysql_close() вызывать попросту незачем. Сравнение с 1 в if — ламерство. Вызывать два раза подряд time() — тоже ламерство (учитывая, что его в одном случае сначала пихают в переменную, а в другом — прямо в выражение). Сравнение результата mysql_num_rows() со строкой "0" это и так 3.14здец, но сравнивать это в операторе if — 3.14здец полный.
Резюмируя: такой пример годится только для помутнения рассудка.