Comment configurer ma table login ?

Version imprimable

Bonjour,
j'e suis en train de faire une page login php et ajax et j'ai trouvé des bouts de script un peu partout pour en faire un qui me semble pas trop mal.
Seul problème, je ne sais pas faire le code pour ma table MySql.

Mon code php :
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 <?php if(isset($_GET['email']) && isset($_GET['psw'])){ $email = $_GET['email']; $psw = $_GET['psw']; $getUser_sql = 'SELECT * FROM USER WHERE email="'. $email . '" AND psw = "' . $psw . '"'; $getUser = mysql_query($getUser_sql); $getUser_result = mysql_fetch_assoc($getUser); $getUser_RecordCount = mysql_num_rows($getUser); if($getUser_RecordCount < 1){ echo '0';} else { echo $getUser_result['nick'];} }
Ce que j'ai fait (trouvé...)
Code:

1 2 3 4 5 6 7 8 CREATE TABLE login ( L_ID INT NOT NULL AUTO_INCREMENT, logged DATETIME, email VARCHAR(10), psw VARCHAR(10), PRIMARY KEY (L_ID) );
J'ai seulement besoin de 2 login/pass, il s'agit juste de protéger une page avec des photos confidentiel (pour éviter la copie de la part des concurrents).

Si vous avez des tutoriels à me proposer je suis preneur (de préférence avec validation ajax, je trouve ça plus agréable et jolie).
Ce que j'ai trouvé m'inquiète un peu car je ne sais pas comment protéger les dites pages.
En fait j'ai l'impression que le login ce fera mais que ds tous les cas si je tape l'url direct de la page que je veux protéger je pourrais y avoir accès.

Merci

24/06/2011, 12h11
gwharl

Regarde par içi : lien
24/06/2011, 12h14
Benjamin Delespierre

Hello

Si tu veux pas te casser la tête, protège ta page avec un .htaccess.
24/06/2011, 12h25
brisso

Merci pour vos réponses.
En revanche, je ne comprend rien...
Je n'ai pas préciser la chose mais je maitrise parfaitement xhtml et css mais pour le reste :?

Pour htacces je ne peux pas personnaliser l'interface de connection, ce qui me déplais fortement. J'y avait pensé également mais je n'ai pas trouvé de solution pour embellir la chose.
24/06/2011, 12h34
Benjamin Delespierre

Reste simple. Si tu veux protéger une page pour un ou deux utilisateurs c'est la solution idéale. Ne vas pas t'embêter avec un login PHP / Ajax juste pour ça...
24/06/2011, 13h31
brisso

C'est vrai, mais quand j'ai une idée dans la tête...
Je vais continuer de chercher un peu plus voir si je trouve un script tout fait, déjà trouvé en php seul mais du coup sans ajax.
Sinon je retient le .htacces
Cette solution est bien protégée je présume ?

1 pièce(s) jointe(s)

Citation:

Envoyé par brisso

C'est vrai, mais quand j'ai une idée dans la tête...
Je vais continuer de chercher un peu plus voir si je trouve un script tout fait, déjà trouvé en php seul mais du coup sans ajax.
Sinon je retient le .htacces
Cette solution est bien protégée je présume ?

Tout à fait. En plus c'est Apache qui gère, tu n'a rien à implémenter coté PHP, donc il y a à priori moins de risques de failles ;)

Pour faire un équivalent en PHP, voici comment tu pourrais t'y prendre:

1 - Le modèle MySQL

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
 
CREATE  TABLE IF NOT EXISTS `users` (
  `id` BIGINT(25) NOT NULL AUTO_INCREMENT ,
  `name` VARCHAR(90) NOT NULL ,
  `surname` VARCHAR(90) NOT NULL ,
  `mail` VARCHAR(90) NULL ,
  `login` VARCHAR(90) NOT NULL ,
  `password` VARCHAR(90) NOT NULL ,
  PRIMARY KEY (`id`) ,
  UNIQUE INDEX `login_UNIQUE` (`login` ASC) ,
  UNIQUE INDEX `name_surname_UNIQUE` (`name` ASC, `surname` ASC) )
ENGINE = InnoDB;
 
/* Exemple d'insertion */
INSERT INTO `users` VALUES (null, 'Benjamin', 'Delespierre', 'benjamin.delespierre@gmail.com', 'bdelesp', md5('rouge'));

On stocke les mots de passe encodés en md5 afin qu'ils soient inutilisables par un tiers dans l'éventualité ou la base serait piratée (en réalité, il est possible de casser le md5 par brute force mais dans la pratique on considère cette solution comme suffisamment sécurisée).

Avec le code ci dessus, voici ce qu'on obtiens:

Code:

1
2
3
4
5
6
7
mysql> select * from users;
+----+----------+-------------+--------------------------------+---------+----------------------------------+
| id | name     | surname     | mail                           | login   | password                         |
+----+----------+-------------+--------------------------------+---------+----------------------------------+
|  1 | Benjamin | Delespierre | benjamin.delespierre@gmail.com | bdelesp | c6ea9af480ca35cb8ded3cb033937f58 |
+----+----------+-------------+--------------------------------+---------+----------------------------------+
1 row in set (0.02 sec)

2 - Coté PHP

En PHP, on va déterminer si l'utilisateur existe de cette façon:

Code:

$results = mysql_query("SELECT * FROM `users` WHERE `login`='$login' AND `password`='$password'");

Voici à quoi ça peut ressembler:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
<?php
// On va devoir manipuler des données de session
// cette fonction doit toujours être placé au 
// début du script PHP car elle manipule les 
// headers envoyés au navigateur
session_start();
 
if (isset($_POST['login'], $_POST['password'])) {
	// Un couple login/mdp à été passé au script
	// on va tenter de trouver l'utilisateur
	$connexion = mysql_connect('localhost', 'root', '');
 
	// On va filtrer les variables passées au script
	// pour éviter toute tentative d'injection SQL
	$login = filter_input(INPUT_POST, 'login', FILTER_SANITIZE_MAGIC_QUOTES);
	$password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_MAGIC_QUOTES);
 
	// On évite les données nulles ou invalides
	if (!$login || !$password)
		die('Login ou mot de passe incorrectement définis');
 
	// On encode le mot de passe en MD5 pour
	// établir la correspondance
	$password = md5($password);
 
	// Remplacer `test` par le nom de ta base de données
	// qui contiens la table users
	if (!$results = mysql_query($q = "SELECT * FROM `test`.`users` WHERE `login`='$login' AND `password`='$password'"))
		die('Erreur avec la requête: ' . $q);
 
	// Si un tuple (ligne) à été trouvé
	if (mysql_num_rows($results)) {
		// On va remplir l'index 'user' avec les données trouvées
		$_SESSION['user'] = mysql_fetch_assoc($results);
	}
	else {
	    // si on à trouvé personne avec ce couple, on affichera un message
		$message = "Utilisateur non trouvé";
	}
}
 
?>
<html>
	<head>
		<title>Page sécurisée</title>
	</head>
	<body>
		<!-- S'il y a un messages -->
		<?php if (isset($message)): ?>
		<p class="message"><?=$message?></p>
		<?php endif ?>
		<!-- Si l'utilisateur n'est pas authentifié, on le lui demande -->
		<?php if (empty($_SESSION['user'])): ?>
		<form method="post">
			<label for="login">Votre login</label><input type="text" name="login" id="login" />
			<label for="password">Votre mot de passe</label><input type="password" name="password" id="password" />
			<input type="submit" value="Se connecter" />
		</form>
		<!-- Si l'utilisateur est authentifié on lui dit bonjour -->
		<?php else: ?>
		<p>
			Bonjour <?=$_SESSION['user']['name']?> <?=$_SESSION['user']['surname']?>
		</p>
		<?php endif ?>
	</body>
</html>

Je mets le PHP en pièce jointe que tu puisse le lire correctement. Je pense qu'il est suffisamment explicite et documenté.

S'il y a des points mal compris, n'hésite pas.

24/06/2011, 15h59
brisso

Génial, c'est exactement ce que je recherche. En revanche, peut être que ma question va te paraitre ridicule mais : je mets où les infos de connexion à ma BDD MySql ?
Merci
24/06/2011, 16h10
Benjamin Delespierre

Le mieux c'est de les laisser en clair dans le code PHP, elle ne seront pas visible de l'exterieur. Une pratique courante consiste à créer un fichier centralisé pour la connection à la bdd (généralement appellé "connection.php") et inclus dans chaque script ayant besoin de communiquer avec la BDD.
24/06/2011, 16h13
brisso

D'accord, merci.
J'étais en train de travailler sur un scipt trouvé au hasard du web. Si je n'y arrive pas j'utilise ta méthode.
Merci :ccool:
24/06/2011, 17h47
brisso

Bon, ça fonctionne. Je suis gainé de ne pas avoir utilisé ta solution.
Pour info, j'ai utilisé ce script : http://www.bitrepository.com/ajax-login-form.html
Je penses qu'il est suffisant pour mon utilisation.

Le résultat : http://www.alodra.fr/prive/
id/pass : admin/admin

Merci pour la réactivité en tout cas ! Ca fait plaisir !:ccool:
24/06/2011, 18h12
gwharl

Juste au passage, sous chrome le CSS est mal géré ce qui implique un décalage de ton bouton "connexion".

Sinon bonne continuation dans ton projet.
24/06/2011, 18h19
brisso

Merci pour l'info ! :ccool:
Je n'ai pas encore validé ces pages là j'attends toujours le dernier moment sinon j'ai l'impression de ne pas avancer...:P