Login Mot de passe + base de données

Version imprimable

17/03/2006, 11h26
Le Rebel

Login Mot de passe + base de données

Bonjour, J'ai créer deux zones de textes pour entrer le login et le mot de passe!!
Je compte mettre dans des variables sessions le login et le mot de passe!!
J'aimerais interroger ma base de données pour voir si ce que j'ai mis dans mes zones de textes sont bon ou pas!!
Comment faire?
En gros je veux faire ça:

Si $login et $MDP sont bien présent dans ma base de données alors
$_session[login]=$login et $_session[MDP]=$MDP
sinon
qu'il me ramène sur ma page initiale index.php!!

(jutilise javascript pour tester si les zones de textes sont vides ou pas).

J'ai vraiment besoin d'aide!!!
17/03/2006, 11h31
gazouza

salut, je suppose qu'il y a deja pas mal de codes sur ce forum a ce sujet...
bref pour resumer

tu recuperes tes variables puis tu fais tes tests de cette maniere

Select login, motdepasse from utilisateurs where login=" . $login ." and motdepasse=" . $mdp . ";"

le principe se trouve dans ta requette

bon courage !
17/03/2006, 11h33
Le Rebel

Merci je vais essayer pour voir!!
17/03/2006, 11h42
Yobs

Effectivement, il y a pleins de post concernant ton problème, avec un minimum de recherche tu t'en sortiras facilement.

Par contre il faut ecrire, $_SESSION['login'] et non $_SESSION[login].
17/03/2006, 11h51
Hervé Saladin

Citation:

tu recuperes tes variables puis tu fais tes tests de cette maniere

Select login, motdepasse from utilisateurs where login=" . $login ." and motdepasse=" . $mdp . ";"

ATTENTION tout de même ...
Oui, cela devrait marcher, mais ce code est très vulnérable aux attaques par SQL injection :(
Il faut faire bien attention aux entrées saisies par l'utilisateur avant d'envoyer la requete sql, puis faire des vérification sur le résultat de cette requette.

J'ai utiliser ce que vous m'aviez donné pour la base mais je ne sais pa comment faire le test qui me dit que le login et le mot de passe sont les memes qu'il y a dans la base de données!!
J'ai fais ça:
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 <?php if(isset($_POST['login'])) { $login=$_POST['login']; } if(isset($_POST['MDP'])) { $MotDePasse=$_POST['MDP']; } if(isset($_POST['login'])) { if(isset($_POST['MDP'])) { if(($login<>"") && ($MotDePasse<>"")) { mysql_connect('localhost', 'root', ''); mysql_select_db('bob); $sqlLOGIN="SELECT * FROM utilisateur WHERE Login='$login' AND Mot_De_Passe='$MotDePasse'"; $reqLOGIN=mysql_query($sqlLOGIN); echo "bonjour"; exit; mysql_close(); }}} ?>
est-ce que mon code à un sens??
si NON ben aidez moi à trouver le bout du tunnel svp!!

Je veux que si mon login et mon mot de passe est bon, ben je peux aller sur la page d'accueil !!

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
<?php
 
  $login = "";
  $MotDePasse = "";
 
  $autorisation = false;
 
  if(isset($_POST['login']))
    $login=$_POST['login'];
 
  if(isset($_POST['MDP']))
    $MotDePasse=$_POST['MDP'];
 
  if(($login<>"") && ($MotDePasse<>"")) 
  {
 
    if(verifier_conformite())
    {
      mysql_connect('localhost', 'root', '');
      mysql_select_db('bob);

      $sqlLOGIN="SELECT * FROM utilisateur
         WHERE Login='$login'
         AND Mot_De_Passe='$MotDePasse'";

      $reqLOGIN=mysql_query($sqlLOGIN);

      if(mysql_num_rows($reqLOGIN)==1)
      {
        $ligneRetour = mysql_fetch_array($reqLOGIN);
        $loginRetour = $ligneRetour['Login'];
        $passRetour = $ligneRetour['Mot_De_Passe'];

        if(($loginRetour==$login)&&($passRetour==$MotDePasse))
        {
          $autorisation = true;
        }
      }
      mysql_close();
    }
  }

  if($autorisation)
  {
    print("Bienvenue");
  }
  else
  {
    print("Casse-toi de mon appli !");
  }

?>

Là ou j'ai fait un appel à une fonction verifier_conformite(), je veu dire qu'il faut vérifier si un petit malin n'a pas essayé d'injecter du code sql dans les variables login et motdepasse.
Il faut que cette fonction renvoie false si ces variables contiennent des mots réservés de SQL, ou des ; ou des -- ou des operateurs d'egalite ... bref tout ce qui pourrait dénaturer la requete que tu fais par la suite pour vérifier le login et mdp.

17/03/2006, 13h08
Le Rebel

Merci beaucoup Hervé Saladin!! Je vais tester!!

Citation:
Envoyé par Le Rebel
J'ai utiliser ce que vous m'aviez donné pour la base mais je ne sais pa comment faire le test qui me dit que le login et le mot de passe sont les memes qu'il y a dans la base de données!!
J'ai fais ça:
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 <?php if(isset($_POST['login'])) { $login=htmlentities($_POST['login'],ENT_QUOTES); } if(isset($_POST['MDP'])) { $MotDePasse=htmlentities($_POST['MDP'],ENT_QUOTES); } if(isset($_POST['login'])) { if(isset($_POST['MDP'])) { if(($login<>"") && ($MotDePasse<>"")) { mysql_connect('localhost', 'root', ''); mysql_select_db('bob); $sqlLOGIN="SELECT * FROM utilisateur WHERE Login='".$login."' AND Mot_De_Passe='".$MotDePasse."'"; $reqLOGIN=mysql_query($sqlLOGIN); echo "bonjour"; exit; mysql_close(); }}} ?>
est-ce que mon code à un sens??
si NON ben aidez moi à trouver le bout du tunnel svp!!

Je veux que si mon login et mon mot de passe est bon, ben je peux aller sur la page d'accueil !!
Ben la tu fais ta requete apparement correctement (meme si tu ne vérifies pas le contenu de tes données envoyées par POST ce qui peut causer des vulnérabilités).

Cependant, tu ne fais rien apres ta requete.
Je sais pas moi, si tu veux vérifier qu'un login est bon , tu dois forcément avoir quelque part un truc du genre if (login_posté==login_de_la_bdd).

alors je completerai juste ton code comme ceci:
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 <?php if(isset($_POST['login'])) { $login=htmlentities($_POST['login'],ENT_QUOTES); } if(isset($_POST['MDP'])) { $MotDePasse=htmlentities($_POST['MDP'],ENT_QUOTES); } if((strlen($login)>0) && (strlen($MotDePasse)>0)) { mysql_connect('localhost', 'root', ''); mysql_select_db('bob); $sqlLOGIN="SELECT * FROM utilisateur WHERE Login='$login' AND Mot_De_Passe='$MotDePasse'"; $reqLOGIN=mysql_query($sqlLOGIN); //On vérifie que la requete est correcte if ($req){ //on vérifie que l'on a un résultat $nb_ligne=mysql_num_rows($reqLOGIN); if ($nb_ligne>0){ echo "login ok"; $_SESSION['login']=$login; mysql_free_result($reqLOGIN); //tu rediriges avec ca par exemple echo "<meta http-equiv=\"refresh\" content=\"0.1;index.php\">"; } else { echo "login incorrect"; } } else { echo "erreur dans la requete"; } exit; mysql_close(); } ?>

17/03/2006, 13h12
Le Rebel

EUH, encore une question!! est -il vraiment utile d'utiliser la fonction verifier_conformite()??
17/03/2006, 13h17
Hervé Saladin

ben c'est à toi de voir
tu n'est pas obligé de l'appeler comme ça, tu peux également faire ces verifications d'une autre façon (directement dans le corps du script par exemple), mais sache que si tu ne fais pas de vérification sur les entrées saisies par les utilisateurs, cela est dangereux : une personne mal intentionnée n'ayant pas de mot de passe mais conaissant la technique de sql injection (qui est ultra-classique) pourrait tres facilement ouvrir une session si ton code n'est pas prévu pour éviter ce genre de magouilles.

Citation:
Envoyé par Hervé Saladin
Code:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 <?php if(mysql_num_rows($reqLOGIN)==1) { $ligneRetour = mysql_fetch_array($reqLOGIN); $loginRetour = $ligneRetour['Login']; $passRetour = $ligneRetour['Mot_De_Passe']; if(($loginRetour==$login)&&($passRetour==$MotDePasse)) { $autorisation = true; } } ?>
Cette partie ne sert à rien.
Tu fais une requete qui te selectionne les lignes correspondant a ton login et on mot de passe. Pourquoi vérifier apres que ce qui t'es retourné correspond a ton login et a ton mot de passe. Si la requete te renvoit un résultat, c'est forcément le bon.
De plus c'est recommandé de faire mysql_fetch_array($ressource,MYSQL_ASSOC) si tu veux travailler directement avec le nom des champs.

17/03/2006, 13h24
Le Rebel

J'ai un problème avec mysql_num_rows!!
ya l'erreur classique qui s'affiche!!

supplied argument is not valid!!
17/03/2006, 13h27
Raideman

Quand tu as un supplied argument is not valid, c'est que ta ressource est mauvaise. autrement dit, ta requete est mal formulé.
Essaie le code que j'ai posté et dis moi ce que ca donne.
17/03/2006, 13h29
Le Rebel

c'est bon ça marche maintenant javé mal renseigné mes connections sql!!
Merci beaucoup à vous les gars!!
17/03/2006, 13h34
Le Rebel

Euh désolé ça marche pa si bien que ça, jaimerais que le password saisie correspond au login entré sinon c'est pas bon!!
fo changer koi pour avoir ça??
17/03/2006, 13h34
Hervé Saladin

Citation:

Cette partie ne sert à rien.

Je te répondrais bien que c'est toi qui sert à rien, mais ca serait méchant et excessif, car visiblement, tu ne comprends pas le principe d'une injection sql.
Laisse-moi t'expliquer :
Lorsqu'on envoie la requete suivante :

Code:

Select login, motdepasse from utilisateurs where login=" . $login ." and motdepasse=" . $mdp . ";"

immagine ce qu'il se passe si l'utilisateur tape dans le formulaire :
login : '' OR 1=1"); //
pass: nimportequoi
(ce n'est qu'un exemple, il y a des centaines de possibilités différentes)
à ce moment là, la chaine de caracteres construite par php devient :

Code:

Select login, motdepasse from utilisateurs where login='' OR 1=1"); // and motdepasse=nimportequoi;

cette chaine devient alors une requete qui selectionne toutes les lignes de la table utilisateurs (la deuxieme moitié de la, requete est commentée).
d'ou l'utilité de :
- vérifier qu'on a bien une seule ligne renvoyée par la requete
- cvérifier à posteriori que ce qui est renvoyé par la BD est bien ce qui a été saisi par l'utilisateur
Il y a des centaines d'astuces du genre qui permettent de dénaturer la requete sql ... il faut donc faire tres attention.
Il faut aussi vérifier AVANT d'envoyer la requete et ceci pour toutes les entrées saisies par l'utilisateur qui peuvent se retrouver dans une requete (pas seulement pour l'authentification) car sinon un pirate peut y introduire ses propres requetes pour effacer, modifier, faire des dump de tes données etc ...

J'ai encore un problème mais là c'est au niveau du nom de l'index dans:
$ligneRetour['Mot_De_Passe']
Jremet le code avec les modif que j'ai fais:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
 
<?php 
  $login = ""; 
  $MotDePasse = ""; 
 
  $autorisation = false; 
 
  if(isset($_POST['login'])) 
    $login=$_POST['login']; 
 
  if(isset($_POST['MDP'])) 
    $MotDePasse=$_POST['MDP']; 
 
  if(($login<>"") && ($MotDePasse<>"")) 
  { 
 
      mysql_connect('localhost', 'root', ''); 
      mysql_select_db('bob'); 
 
      $sqlLOGIN="SELECT Login FROM utilisateur 
                 WHERE Mot_De_Passe='$MotDePasse'"; 
 
      $reqLOGIN=mysql_query($sqlLOGIN); 
 
	if(mysql_num_rows($reqLOGIN)==1)
      //if(mysql_num_rows($reqLOGIN)==1) 
      { 
        $ligneRetour = mysql_fetch_array($reqLOGIN); 
        //$loginRetour = $ligneRetour['Login']; 
        $passRetour = $ligneRetour['Mot_De_Passe']; 
 
          if(($passRetour==$MotDePasse)) 
        //if(($loginRetour==$login)&&($passRetour==$MotDePasse)) 
        { 
          $autorisation = true; 
        } 
      } 
      mysql_close(); 
    } 
 
 
  if($autorisation) 
  { 
    header("Location:accueil.php");
  } 
 
?>

17/03/2006, 13h45
Le Rebel

lerreur me dit que l'index n'est pas défini!!
17/03/2006, 14h04
Hervé Saladin

oui, c'est normal
comme tu fais un select login dorénavant (alors qu'avant tu faisais un select *), le champ Mot_De_Passe n'est plus selectionné
on ne peut donc plus y acceder avec l'instruction

Code:

$passRetour = $ligneRetour['Mot_De_Passe'];

tu as deux solutions :
- soit tu vire cette instruction et tu ne fais plus de verif a posteriori sur le mot de passe
- soit dans ta requete, tu selectionne le mot de passe

J'ai pu régler le problème merci Hervé!!

Tu vois si mon login et mon mot de passe est bon jaimerai qu'il me redirige vers la page d'accueil!!

J'ai fais ça:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
 
$login = ""; 
  $MotDePasse = ""; 
 
  $autorisation = false; 
 
  if(isset($_POST['login'])) 
    $login=$_POST['login']; 
 
  if(isset($_POST['MDP'])) 
    $MotDePasse=$_POST['MDP']; 
 
  if(($login<>"") && ($MotDePasse<>"")) 
  { 
 
      mysql_connect('localhost', 'Pascal', 'Pascal'); 
      mysql_select_db('suivi véhicule'); 
 
      $sqlLOGIN="SELECT * FROM utilisateur 
                 WHERE Mot_De_Passe='$MotDePasse'"; 
 
      $reqLOGIN=mysql_query($sqlLOGIN); 
 
      if(mysql_num_rows($reqLOGIN)==1) 
      { 
        $ligneRetour = mysql_fetch_array($reqLOGIN); 
        $loginRetour = $ligneRetour['Login']; 
        $passRetour = $ligneRetour['Mot_De_Passe']; 
 
			if(($passRetour==$MotDePasse)) 
        //if(($loginRetour==$login)&&($passRetour==$MotDePasse)) 
        { 
          $autorisation = true; 
        } 
      } 
      mysql_close(); 
    } 
 
 
  if($autorisation) 
  { 
    header("Location:accueil.php");
  }

Mais ya un problème avec le header, il veut pa me rediriger??
il met le message d'erreur : cannot modify etc
dans mon form g mis ça

Code:

1
2
3
 
<form name="identification" method="POST" action="accueil.php" onsubmit="return valider()">
</form>

si je tire le header et
si je met un login et un mauvais mot de passe, ben il maffiche quand meme accueil.php

comment régler le problème?

17/03/2006, 14h25
Hervé Saladin
pour pouvoir faire un appel à header(), il faut que tu n'aies rien envoyé au client avant.
cela signifie que tu ne dois afficher aucun code html, ni faire aucun appel print ou echo dans le même script avant d'appeler header()
il faudrait peut être aussi rediriger l'utilisateur vers une page de refus en cas d'echec de l'authentification.
Quelque chose du genre :
Code:

1 2 3 4 5 6 7 8 if($autorisation) { header("Location: accueil.php"); } else { header("Location: refus.php"); }
enfin, pense à protéger toutes les pages qui en ont besoin.
Pour cela, la premiere chose que tu fais dans chaque page, c'est de vérifier si le client à bien une session d'ouverte, si cette session contient bien ce qu'elle est censée contenir apres une authentification réussie, et si ce n'est pas le cas, tu redirige l'utilisateur vers la page d'authentification
17/03/2006, 14h32
Le Rebel

ben j'ai rajouter ce que tu m'a dit mais ça me donne le meme message d'erreur!!
17/03/2006, 14h56
Hervé Saladin

Fais voir TOUT le code de ta page

voilà le code:

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
 
<?php 
  $login = ""; 
  $MotDePasse = ""; 
 
  $autorisation = false; 
 
  if(isset($_POST['login'])) 
    $login=$_POST['login']; 
 
  if(isset($_POST['MDP'])) 
    $MotDePasse=$_POST['MDP']; 
 
  if(($login<>"") && ($MotDePasse<>"")) 
  { 
 
      mysql_connect('localhost', 'root', ''); 
      mysql_select_db('bob'); 
 
      $sqlLOGIN="SELECT * FROM utilisateur 
                 WHERE Mot_De_Passe='$MotDePasse'"; 
 
      $reqLOGIN=mysql_query($sqlLOGIN); 
 
      if(mysql_num_rows($reqLOGIN)==1) 
      { 
        $ligneRetour = mysql_fetch_array($reqLOGIN); 
        $loginRetour = $ligneRetour['Login']; 
        $passRetour = $ligneRetour['Mot_De_Passe']; 
 
 
        if(($loginRetour==$login)&&($passRetour==$MotDePasse)) 
        { 
          $autorisation = true; 
		} 
      } 
      mysql_close(); 
 
  if($autorisation) 
  { 
	header("Location:accueil.php");
  } 
  else
  {
  	header("Location:index.php");
  }
}
?>
<script type="text/javascript">
<!--
function valider()
{ 
 
 if(document.identification.login.value == "")  {
   alert("Veuillez entrer votre login SVP!");
   document.identification.login.focus();
   return false; }
 
  if(document.identification.MDP.value == "")  {
   alert("Veuillez entrer votre mot de passe SVP!");
   document.identification.MDP.focus();
   return false; }
 
  }
 
-->
</script>
 
 
<?php include("entete.php"); ?>
 
<div class="feature">  
<h1 style="font-size: 36px; color: #FF0000;">SAISISSEZ VOTRE LOGIN ET VOTRE MOT DE PASSE !!</h1>  
<form name="identification" method="POST" onsubmit="return valider()">
 
<table align="center" width="60%" border="0" cellpadding="0" cellspacing="0">
<tr>
<td width="49%"><div align="center" style="color: #0000FF"><strong>Login:</strong></div></td>
<td width="51%"><input type="text" name="login" id="login"></td></tr>
<tr> 
    <td>&nbsp;</td>
    <td>&nbsp;</td>
</tr>
<tr>
<td width="49%"><div align="center" style="color: #0000FF"><strong>Mot de passe:</strong></div></td>
<td width="51%"><input type="text" name="MDP" id="MDP"></td></tr></table>
<br><br>
<table align="center" width="60%" border="0" cellpadding="0" cellspacing="0">
<tr>
<td width="40%"><div align="center"><input name="Valider" type="submit" value="Valider" />
</div></td></tr></table>
 
</form>
</div> 
 
<?php include("pied.php"); ?>

17/03/2006, 15h03
Le Rebel

ça marche maintenant!!
les ordinateurs c'est trop fort pour moi!!
maintenant si je veux utiliser les variables sessions comment faire??
17/03/2006, 15h11
Hervé Saladin
commence par un appel à session_start() (dans chaque script ou tu auras besoin d'acceder à la session) , puis ensuite tu peux lire et ecrire dans le tableau $_SESSION[]
par exemple :
Code:

1 2 3 4 5 6 7 8 9 10 if($autorisation) { session_start(); $_SESSION['login']=$login; header("Location:accueil.php"); } else { header("Location:index.php"); }
au moment de l'authentification
puis pour proteger tes pages, tu commence chacune d'elle par :
Code:

1 2 3 4 5 6 7 8 <?php session_start(); if(!isset($_SESSION['login'])) { header("Location:index.php"); exit(); } ?>
17/03/2006, 15h14
Le Rebel

Merci!! Pour la destruction de la session, c'est-à-dire je ferai un lien "déconnexion" qui me ramènera sur la page d'index!!
C'est possible??
ou sinon j'ai penser de mettre unset($_SESSION['login']) dans une page intermédiaire avec le lien de l'index dedans!!

qu'est-ce que tu me conseille??
17/03/2006, 15h19
Hervé Saladin
je te conseille de mettre ceci dans ta page d'authentification :
Code:

1 2 session_start(); session_destroy();
cela efface tout ce qui est dans la session chaque fois qu'un utilisateur arrive sur la page d'authentification.
Cette page sert donc pour le login et le logout.
Ensuite, tu n'as plus qu'a mettre un lien intitulé "deconnection" pointant vers cette page dans toutes les autres pages de ton appli
17/03/2006, 15h22
Le Rebel

Merci beaucoup Hervé, t'es un chic type!!
17/03/2006, 16h14
Hervé Saladin

:)