Newsgroup: it.comp.www.php
Titolo: Un buon sistema di autenticazione?

Per motivi di configurazione del server non posso accedere alla root del
sito per usare files .htaccess e .htpasswd.
Dovendo realizzare un sistema di login per proteggere un'area di
amministrazione voi quale metodo consigliate?
io per adesso ho utilizzato le variabili $_SERVER['PHP_AUTH_USER'] e
$_SERVER['PHP_AUTH_PW'] confrontando i dati con quelli scritti a mano
nel file di login.
So che il sistema non � proprio il massimo, ma io devo coniugare la
difficolt� di lavoro con il costo e le tempistiche. In breve, meno
spendono meglio �...
So che un'altra alternativa sarebbe quella di implementare un sistema di
login basato su un db e queries varie, cosa che vorrei evitare per i
motivi di cui sopra...
Altre soluzioni?
C'� crisi... c'� grossa crisi....
Max
-- 
http://www.maxori.it
L'Arte � la capacit� di fare cose di nessun valore
e di riuscire a venderle
F. Zappa

 motivi di cui sopra...
Puoi farlo anche senza DB, memorizzando user e pass in un file di config, 
come sopra.
Il vantaggio e` che puoi stilizzare le pagine di login, invece di avere il 
(bruttissimo, per un server di frontend) requester di autenticazione del 
browser.
Lo svantaggio e` che devi scrivere molto piu` codice e pagine web... :)
Bye.

 Max
guarda, io ho fatto una form che prende la pw e ne confronta l'hash con 
un hash originale salvato in un file php e messo in una cartella 
protetta da htaccess, tendenzialmente anche se lasci php va bene perchè 
viene interpretato e quindi non è accessibile (in teoria, poi in pratica...)
fatto questo se la pw corrisponde setta nel browser un cookie con un 
hash random abbastanza lungo.
nel frattempo salva l'hash settato nel browser in un file di testo
e salva anche l'ip dell'user che ha inserito la password.
in ogni pagina poi da proteggere viene richiamata la funzione che legge 
al volo i due file di testo (hash e ip) e li confronta con le variabili 
php del browser che ha fatto la richiesta e ritorna se l'utente è 
autenticato o no.
io però ho protetto i due file di testo con l'htaccess però come sopra 
penso che se per esempio tu invece che scrivere un valore nel file di 
testo tipo
fwrite('gitrhvgiomo','miofile.txt');
scrivessi qualcosa come:
fwrite ("<?php $hash=\'".$variabile."\'; ?>","miofile.php");
(non ho controllato la sintassi) potresti in pratica scrivere un file 
php al volo che verrebbe interpretato e quindi lo salveresti da occhi 
indiscreti

 e salva anche l'ip dell'user che ha inserito la password.
Sessioni queste sconosciute...
Enrico

Enrico Bassetti ha scritto:

conosciute solo per nome...non ho avuto tempo/voglia di studiare...forse 
per la prossima versione...

 per la prossima versione..
Facevi prima a studiare le sessioni che a costruire quell'accrocchio di
files.. Io odio scrivere sui files :)
-- 
g4b0, linux user n. 369000
http://gabo.homelinux.com

 
la penso come te ma uno lo devi studiare, l'altro era solo da pensare e 
fare...rimando alla release successiva...insieme a un p� di ajax che sto 
studiando...sia mai che vien fuori pi� carino...

 studiando...sia mai che vien fuori pi� carino...
Guarda, IMHO facevi MOLTO prima a studiare le sessioni. E' molto poco.
Evitavi di reinventarti la ruota, con tutti i problemi del caso.
Enrico

Enrico Bassetti ha scritto:

gi� mi sono messo a lavoro in questo senso...grazie ;)

Argaar ha scritto:

si ma alla fine della fiera che c'� da sapere?
session_start(); che inizializza o recupera la sessione
$_SESSION come hash per accedere alla variabili di sezione
salvi in $_SESSION lo stato, tipo loggatto, etc, e permessi (non user e
pass) e buona notte.