小雷音寺: 翻译：PHP和Session终极指南 IV

原文：PHP and Sessions, the ultimate guide!
原文作者：Deian Motov
发布日期：Sunday, 30 September 2007
译者：石头希迁

表单（Form）和函数

这是另一个例子，稍微复杂了一点点：



<?php

if (!isset($_POST['email'])) {
    // if form has not been submitted
    // display form
    // if cookie already exists, pre-fill form field with cookie value
?>
<html>
<head></head>
<body>

<form action="<?php echo $_SERVER['PHP_SELF']?>" method="post">
Enter your email address: <input type="text" name="email" value="<?php echo $_COOKIE['email']; ?>">
<input type="submit" name="submit">
<?php
// also calculate the time since the last submission
if ($_COOKIE['lastsave']) {
    $days = round((time() - $_COOKIE['lastsave']) / 86400);
    echo "$days day(s) since last submission";
}
?>
</form>

</body>
</html>
<?php
}
else {
    // if form has been submitted
    // set cookies with form value and timestamp
    // both cookies expire after 30 days
    if (!empty($_POST['email'])) {
        setcookie("email", $_POST['email'], mktime()+(86400*30), "/");
        setcookie("lastsave", time(), mktime()+(86400*30), "/");
        echo "Your email address has been recorded.";
    }
    else {
        echo "ERROR: Please enter your email address!";
    }
}
?>
</body>
</html>

在这个例子中，输入的表单的值被保存到一个叫做email的cookie中，在接下来的访问中请求中，这个cookie可以自动填写表单，在需要用户输入用户名和密码的时候，这个技术被很多网站频繁使用。帮助用户在登录界面自动填写上次成功登录的用户名，这样也帮助用户少敲几次键盘。

这个例子也演示了如何对一个域使用多个cookie，这需要调用setcookie多次。在上面的例子中，登录的时间被保存为第二个cookie，用来计算两次登录间的时间间隔。

要从客户端删除一个cookie，可以以同样的语法调用setcookie() ，而将过期时间设定为一个已经过去的时间，这将导致客户端自动删除cookie。下面是例子：


<?php

    // delete cookie
    setcookie("lastsave", NULL, mktime() - 3600, "/");

?>

如果需要知道更多关于cookie和setcookie()函数，可以参阅链接
http://www.php.net/manual/en/features.cookies.php和
http://www.php.net/manual/en/function.setcookie.php.

访问授权

如我在教程的最开始说的，cookie和sessions是两种使得数据“长久”存于客户端的方法。一个session保持一次会话的时的数据，而cookie可以保存任何你需要它保存的时间。记住这些，让我们继续看看如何同时使用它们两者。

这个应用是一个简单的用户授权系统。这个系统中，一些页面只能显示给成功登录的用户，任何没有提供有效密码的用户都无法看到那些“特殊”的页面。用户和用户密码被保存在一个MySQL数据库表中。PHP使用这个表来进行有效的用户认证，以确定用户是否有权访问。

假设用户的MySQL数据表看起如下：


+-------+---------------------------------------------------+
| name  | pass                                                                  |
+-------+---------------------------------------------------+
| sue     | 9565d44fd0fe4db59f073eea1db70f3ea258e10b  |
| harry  | 6e74234b8b552685113b53c7bff0f386c8cef8cf     |
| louis   | 6817dda51b64b8190029490d2811a4d9cb9cd432 |
| sam    | bd17f8243e771a57cfbb06aa9a82bbf09fd2d90b  |
| james | 792ec9b44d432c947ac6775b2b52326e9d08512f  |
+-------+---------------------------------------------------+

每一个用户有一个用户名和一个有SHA1()函数处理后的密码，下面是使用PHP来做这个艰巨工作的相关代码：

<?php

if (isset($_POST['name']) || isset($_POST['pass'])) {
    // form submitted
    // check for required values
    if (empty($_POST['name'])) {
        die ("ERROR: Please enter username!");
    }
    if (empty($_POST['pass'])) {
        die ("ERROR: Please enter password!");
    }

    // set server access variables
    $host = "localhost";
    $user = "test";
    $pass = "test";
    $db = "db2";

    // open connection
    $connection = mysql_connect($host, $user, $pass) or die ("Unable to connect!");

    // select database
    mysql_select_db($db) or die ("Unable to select database!");

    // create query
    $query = "SELECT * FROM users WHERE name = '" . $_POST['name'] . "' AND pass = SHA1('" . $_POST['pass'] . "')";

    // execute query
    $result = mysql_query($query) or die ("Error in query: $query. " . mysql_error());

    // see if any rows were returned
    if (mysql_num_rows($result) == 1) {
    // if a row was returned
    // authentication was successful
    // create session and set cookie with username
        session_start();
    $_SESSION['auth'] = 1;
    setcookie("username", $_POST['name'], time()+(84600*30));
    echo "Access granted!";
}
else {
    // no result
    // authentication failed
    echo "ERROR: Incorrect username or password!";
}

    // free result set memory
    mysql_free_result($result);

    // close connection
    mysql_close($connection);
}
else {
    // no submission
    // display login form
?>
<html>
<head></head>
<body>
<center>
<form method="post" action="<?php echo $_SERVER['PHP_SELF']; ?>">
Username <input type="text" name="name" value="<?php echo $_COOKIE['username']; ?>">
<p />
Password <input type="password" name="pass">
<p />
<input type="submit" name="submit" value="Log In">
</center>
</body>
</html>
<?php
}

?>

这里，在登录框输入的值将会被集成进入MySQL SELECT查询语句，对用户表执行相关查询。如果用户名和密码都符合，会返回单一的一行数据，表示授权成功，如果不是，即没有获得任何数据，则授权失败。（译注：这个脚本存在被SQL注入攻击的可能性，请不要直接使用）

假设授权成功了，就会初始化一次会话，$_SESSION['auth'] 将会创建，并被赋值为Boolean值True。用户名将会被保存到一个cookie中，以备下次之需。cookie会被保存30天，会被用来在下次登录时自动填写登录框的用户名。

当然，仅仅上面这些还不够。上面的脚本执行了用户的授权，初始化了session，设置了cookie，但是，在每次访问有限制的页面时也要进行安全检查。没有此安全检查，用户可以通过直接输入相关URL来绕过登录界面。

因为上面脚本中session变量$_SESSION['auth'] 只在用户认证完成了以后才有效，因此可以在每个限制页面脚本的前面先检查此变量是否存在。下面是代码：


<?php

    // start session
    session_start();
if (!$_SESSION['auth'] == 1) {
    // check if authentication was performed
    // else die with error
    die ("ERROR: Unauthorized access!");
}
else {
?>
<html>
<head></head>
<body>
This is a secure page. You can only see this if $_SESSION['auth'] = 1
</body>
</html>
<?php
}

?>

这是一个安全页面，只在$_SESSION['auth'] = 1的情况下，才可以显示。

相当的简洁，对吧？只有授权用户才可以看到这个页面，因为只有他们的客户端才会拥有一个 $_SESSION['auth'] 变量有效的会话。其他用户只能看到一个error消息。

(--The End--)

小雷音寺

星期二, 十月 02, 2007

翻译：PHP和Session终极指南 IV

没有评论: