Autorizácia v PHP s MySQL

Vytvoriť bezpečnú autorizáciu, čiže prístup na stránky pod užívateľským menom a heslom, je neľahká úloha. Ako ošetriť neoprávnené prihlásenie pomocou PHP so sessions v kombinácii s databázou MySQL si prečítate v tomto článku.

Ako teoretický úvod poslúži článok Bezpečnost především – cross-site skripting a session-stealing, ktorý varuje pred možnými chybami pri písaní takéhoto skriptu. Vychádzajme z obvyklej situácie, kde máme užívateľov systému zapísaných napr. v tabuľke uzivatelia, ktorá obsahuje položky uid (jedinečné číslo užívateľa), meno (prihlasovacie meno) a položku heslo, kde budeme uchovávať heslo užívateľa samozrejme zahashované – v našom prípade algoritmom md5. SQL príkaz pre vytvorenie tabuľky uzivatelia bude nasledovný:

CREATE TABLE uzivatelia (
  uid int(10) unsigned NOT NULL auto_increment,
  meno varchar(12) NOT NULL,
  heslo varchar(32) NOT NULL,
  UNIQUE uid (uid)
);

Pre autorizačný skript budeme potrebovať ešte jednu tabuľku autorizacia, ktorá nám poslúži na evidenciu prihlásených užívateľov, konkrétne položky sess (session id), cas (čas prihlásenia, resp. čas posledného prístupu na server) a položka user_info do ktorej si zapíšeme údaje o IP adrese užívateľa pri prihlásení a počas celej doby prihlásenia budeme hodnotu tejto položky kontrolovať s aktuálnym stavom. Opäť uvádzam SQL skript pre vytvorenie tabuľky autorizacia:

CREATE TABLE autorizacia (
  aid int(10) unsigned NOT NULL auto_increment,
  sess varchar(32) NOT NULL,
  cas int(10) unsigned DEFAULT ‚0‘ NOT NULL,
  user_info varchar(32) NOT NULL,
  UNIQUE aid (aid)
);

Za jednou IP adresou sa môže nachádzať niekoľko rôznych počítačov, preto je potrebné skutočnú IP adresu zisťovať spôsobom popísaným v hore citovanom článku:

$IPadresa=$REMOTE_ADDR;
$IPadresa.=“@“.$HTTP_X_FORWARDED_FOR;
$IPadresa.=“@“.$HTTP_FORWARDED;
$IPadresa.=“@“.$HTTP_CLIENT_IP;
$IPadresa.=“@“.$X_HTTP_FORWARDED_FOR;

Čo, žiaľ, taktiež nerieši jedinečnú identifikáciu počítača, vo väčšine prípadoch bude nastavená len premenná $REMOTE_ADDR, ostatné premenné môžu, ale aj nemusia byť nastavené. Proxy posielajú tieto HTTP hlavičky, ale nastavením je možné ich zakázať. Ja využívam na identifikáciu IP adresy funkciu getVisitorIdentifier, ktorú nájdete na stránke identifier PHP functions by Marc Meurrens, čo je v podstate upravená vyššie uvedená identifikácia s rozlíšením rôznych prípadov nastavení (viac napovedia komentáre vo funkcii).

Kontrola IP adresy počas doby prihlásenia môže spôsobovať problémy dial-up užívateľom, u ktorých sa IP adresa mení dynamicky pri každom pripojení. Netreba sa však obávať toho, že prídeme o dial-up užívateľov, treba ich však na túto situáciu pri prihlasovaní upozorniť.

Jedinečná identifikácia užívateľa (resp. počítača) nie je možná, avšak k funkcii getVisitorIdentifier môžeme doplniť ako dodatočnú informáciu typ prehliadača, čím zvýšime presnosť identifikácie. Preddefinovaná premenná $_SERVER[‚HTTP_USER_AGENT‘] obsahuje reťazec identifikujúci prehliadač, napr. Mozilla/4.0 (compatible; MSIE 5.0; Windows NT 5.1) Opera 5.12 [en].

Na ukážku fungovania autorizácie si vytvoríme nasledovné súbory:

• index.php – hlavná stránka (cez túto stránku vkladáme obsah ďaľších stránok, cez require)
• head.php – hlavička stránky
• foot.php – päta stránky
• settings.php – nastavenia
• login.php – formulár pre prihlásenie
• autorizacia.php – funkcia pre autorizáciu
• dalsia1.php, dalsia2.php, dalsia3.php – súbory, ktoré sa budú vkladať ako obsah stránky podľa zvoleného menu

Súbor index.php obsahuje funkciu Autorizacia, ktorá pri úspešnom prihlásení vráti true, inak false a vloží formulár pre prihlásenie užívateľa. Na základe zvoleného menu vkladáme obsah stránok dalsia1.php, dalsia2.php, dalsia3.php. Výstup stránky posielame do bufferu, pretože ďalej v skripte voláme funkciu SetCookie, ktorú je potrebné volať ešte pred nejakým výstupom. Viac o posielaní výstupu do bufferu sa môžete dočítať v článku Ušetřete až 80 % datového přenosu.

<?php
ob_start ();
session_start ();
require „settings.php“;
require „autorizacia.php“;
require „head.php“;
if (Autorizacia () == false) {
  require „login.php“;
  require „foot.php“;
  exit ();
  }
switch ($_GET[„menu“]){
  case „dalsia2“:
  case „dalsia3“:
    require $_GET[„menu“].“.php“;
    break;
  default:
    require „dalsia1.php“;
    break;
  }
require „foot.php“;
ob_end_flush ();
?>

Súbor head.php obsahuje pripojenie k databáze a menu s odkazmi na ďalšie stránky <a href="index.php?menu=dalsia1<?php echo (SID?"&amp;".SID:"");?>">Dalsia 1</a>, teda ak je to potrebné, doplníme session id do odkazov (session.use_trans_sid = 0). Ak je to možné, použite perzistentné spojenie.

Súbor foot.php uzatvára HTML obsah stránky a spojenie s databázou. Súbor settins.php obsahuje nastavenia k autorizácii, význam je zrejmý z komentárov.

<?php
// debug mode
define („MK_DEBUG“, true);
// typ prihlasenia (0=select, 1=input)
define („AUTH_TYPE“, 1);
// timeout autoodhlasenia (v sekundach)
define („AUTH_TIMEOUT“, 60 * 60);
// ci bude spravcovske heslo platit pre vsetkych
define („AUTH_USEADMINPASSWD“, false);
// ak bude prazdna tabulka uzivatelia, automaticky sa vytvori user AUTH_ADMINUSERNAME, ktory bude povazovany za spravcu (uid=1)
define („AUTH_ADMINUSERNAME“, „[správca]“);
// heslo pre automaticky vytvoreneho spravcu (md5)
define („AUTH_ADMINPASSWD“, „21232f297a57a5a743894a0e4a801fc3“);
// platnost cookie (10000 dní)
define („AUTH_EXPIRECOOKIE“, 60*60*24*(10000));
?>

Súbor login.php obsahuje formulár pre prihlásenie užívateľa. Na základe konštanty AUTH_TYPE generujeme HTML formulár s input alebo option prvkami pre zadanie užívateľského mena. Ak tabuľka uzivatelia neobsahuje žiadny záznam, bude vytvorený užívateľ AUTH_ADMINUSERNAME s heslom AUTH_ADMINPASSWD. Premenná $username, získaná cez $username = $_POST["username"] ? $_POST["username"] : $_COOKIE["username"];, bude obsahovať hodnotu naposledy prihláseného užívateľa (zistené z cookies), alebo hodnotu aktuálne prihlasovaného užívateľa (napr. pri nesprávne zadanom hesle). V input prvku sa dosadí username ako hodnota, pri option prvku bude táto voľba s parametrom selected. JavaScriptom nastavíme kurzor do potrebného prvku.

<?php
$username = $_POST[„username“] ? $_POST[„username“] : $_COOKIE[„username“];
?>
<strong>Autorizácia užívateľa</strong>
<form method=“post“ action=“index.php“ name=“formular“>
<input type=“hidden“ name=“PHPSESSID“ value=“<?php echo session_id ()?>“ />
Užívateľ : <?php echo HTMLlogin ($username)?><br />
Heslo : <input type=“password“ name=“passwd“ />
<input type=“submit“ value=“Prihlásenie“ />
</form>
<script type=“text/javascript“>
function Focuzz () {
  <?php
  if (empty($username))
    echo „document.formular.username.focus ()\n“;
  else
    echo „document.formular.passwd.focus ()\n“;
  ?>
  }
window.onload = Focuzz
</script>

Funkcia generujúca formulárový prvok pre zadanie užívateľského mena, podľa konštanty AUTH_TYPE:

<?php
function HTMLlogin ($username) {
  $query = „SELECT * FROM uzivatelia ORDER BY meno“;
  $result = mysql_query ($query) or die();
  // ak neexistuju uzivatelia, vytvor spravcu systemu s heslom
  if (mysql_num_rows ($result) == 0) {
    $result = mysql_query („INSERT INTO uzivatelia (meno, heslo) VALUES (‚“.AUTH_ADMINUSERNAME.“‚, ‚“.AUTH_ADMINPASSWD.“‚)“);
    $result = mysql_query ($query) or die();
    }
  if (AUTH_TYPE == 0){
    $s = „<select name=’username‘>\n“;
    while ($row = mysql_fetch_object ($result)) {
      if ($username == $row->meno)
        $s .= „<option value=’$row->meno‘ selected style=’background-color:#ffffff‘>$row->meno</option>\n“;
      else
        $s .= „<option value=’$row->meno‘ style=’background-color:#e0e0ff‘>$row->meno</option>\n“;
      }
    $s .= „</select>\n“;
    }
  else if (AUTH_TYPE == 1) {
    $s = „<input type=’text‘ name=’username‘ value=’$username‘ />\n“;
    }
  return $s;
  }
?>

Súbor autorizacia.php obsahuje funkcie pre spracovanie prihlasovacieho formulára a následne kontrolu session id a zahashovanú hodnotu IP adresy s typom browsera. V úvode funkcie kontrolujeme, či nebolo zvolené odhlásenie daného užívateľa, ak áno, funkcia Logout sa postará o vymazanie záznamu s týmto session id z tabuľky autorizacia a odstráni session premenné (session_destroy by spôsobilo vymazanie session a session_id by bolo prázdne, preto si toto session id poneháme aj pre ďalšie prihlásenie, nič tým nepokazíme, len odstránime jeho premenné).

function Autorizacia () {
  if ($_GET[„menu“] == „logout“){
    Logout ();
    return false;
  }
  …
  …
function Logout () {
  // zmaz zaznam so session_id
  $result = mysql_query („DELETE FROM autorizacia WHERE sess='“.session_id ().“‚“) or die();
  // odstran session premenne
  reset ($_SESSION);
  while (list ($key, ) = each ($_SESSION))
    unset($_SESSION[$key]);
  }

V ďalšom kroku vyhodnotíme podmienku isset($_POST["username"]) && isset($_POST["passwd"]) && empty($_SESSION["uid"]), ktorá nám pri splnení hovorí o tom, že boli vyplnené vstupné hodnoty a užívateľ sa práve prihlasuje (ešte nie je prihlásený), čo ošetruje situáciu, ak by bol ihneď po prihlásení vyvolaný refresh stránky. Zadané heslo zahashujeme funkciou md5 $_POST["passwd"] = md5 ($_POST["passwd"]);. Ak bude nastavená konštanta AUTH_USEADMINPASSWD, správcovské heslo (záznam s uid=1) bude platné pre všekých ostatných užívateľov. Získanie správcovského hesla:

if (AUTH_USEADMINPASSWD) {
  // zisti spravcovske heslo
  $result = mysql_query („SELECT heslo FROM uzivatelia WHERE uid=’1′“) or die();
  $row = mysql_fetch_object($result);
  $admin_passwd = $row->heslo;
  }

Teraz sa pokúsime z tabuľky uzivatelia vybrať záznam so zadaným menom a heslom. Opäť bereme do úvahy aj nastavenie konštanty AUTH_USEADMINPASSWD:

// vyber uzivatela „username“ s heslom „passwd“
$result = mysql_query („SELECT * FROM uzivatelia WHERE meno='“.$_POST[„username“].“‚ AND heslo='“.$_POST[„passwd“].“‚“) or die();
if (AUTH_USEADMINPASSWD && !mysql_num_rows ($result)) {
  // zaznam neexistuje, kontroluj spravcovske heslo
  if ($admin_passwd == $_POST[„passwd“]) {
    // heslo je OK – vyber uzivatela „username“
    $result = mysql_query („SELECT * FROM uzivatelia WHERE meno='“.$_POST[„username“].“‚“) or die();
    return AuthInsert ($result);
    }
  }
return AuthInsert ($result);

Funkcia AuthInsert sa nám pri nájdení tohoto záznamu postará o pridanie užívateľa do tabuľky autorizacia, kde si pri vložení záznamu zapíšeme session id, čas prihlásenia a zahashované informácie o IP adrese a type prehliadača – funkcia GetUserInfo. Funkciu function getVisitorIdentifier som pridal z už spomínanej stránky Marca Meurrensa. Z tabuľky autorizacia ešte vymažeme záznamy, ktorým vypršal čas AUTH_TIMEOUT od poslednej akcie so serverom. Cez SetCookie nastavíme premennú $username na hodnotu práve prihláseného užívateľa, ktorú využívame v súbore login.php. Do superglobálnej premennej $_SESSION vložíme hodnoty, ktoré môžeme načítať napr. z tabuľky užívatelia a využívať ich počas doby prihlásenia. Povinná je hodnota uid, ktorú využívame v spomínanej podmienke funkcie Autorizacia isset($_POST["username"]) && isset($_POST["passwd"]) && empty($_SESSION["uid"]). Pri úspešnom pridaní záznamu do tabuľky autorizacia vráti funkcia AuthInsert hodnotu true, inak false – neúspešné prihlásenie. Funkcia HTMLlogout v dobe prihláseného užívateľa zobrazí odkaz n odhlásenie užívateľa (menu=logout).

function AuthInsert ($result) {
  if (mysql_num_rows($result)) {
    $row = mysql_fetch_object ($result);
    // pridaj session_id a cas prihlasenia do tabulky autorizacia
    mysql_query („INSERT INTO autorizacia (sess, cas, user_info) VALUES (‚“.session_id ().“‚, ‚“.time().“‚, ‚“.GetUserInfo().“‚)“) or die();
    // vymaz stare zaznamy
    mysql_query („DELETE FROM autorizacia WHERE cas < „.(time() – AUTH_TIMEOUT)) or die();
    setcookie(„username“, $row->meno, time() + AUTH_EXPIRECOOKIE);
    $_SESSION[„uid“] = $row->uid;
    $_SESSION[„username“] = $row->meno;
    $_SESSION[„ip_full“] = getVisitorIdentifier();
    $_SESSION[„browser“] = $_SERVER[‚HTTP_USER_AGENT‘];
    return HTMLlogout ();
    }
  return false;
  }
function GetUserInfo () {
  return md5(getVisitorIdentifier().$_SERVER[‚HTTP_USER_AGENT‘]);
  }
function HTMLlogout () {
  if ($_GET[„menu“] != „logout“)
    echo „<a href=’index.php?menu=logout“.(SID?“&amp;“.SID:““).“‚>Odhlásenie</a>“;
  return true;
  }

Ak je užívateľ prihlásený, je potrebné prekontrolovať, či sa záznam s daným session id a zahashovanou IP adresou s typom browsera nachádza v záznamoch tabuľky autorizacia. Pri existencii takéhoto záznamu prekontrolujeme, či nevypršal čas AUTH_TIMEOUT a nastavíme novú hodnotu času prístupu na server. Ak záznam neexistuje, alebo vypršal čas nečinnosti počas doby prihlásenia vráti nám funkcia Autorizacia hodnotu false (vymažú sa tiež ostatné záznamy s vypršaným časom a odstráni sa aktuálne session), inak vráti true.

// nebol zadany uzivatel ani heslo
// existuje zaznam s takymto session_id ?
$result = mysql_query („SELECT * FROM autorizacia WHERE sess='“.session_id ().“‚ AND user_info='“.GetUserInfo().“‚“) or die();
// ano existuje
if ( mysql_num_rows ($result) ) {
  $row = mysql_fetch_object ($result);
  // nevyprsal timeout ?
  if (time() – $row->cas < AUTH_TIMEOUT) {
    // update casu
    mysql_query („UPDATE autorizacia SET cas='“.time().“‚ WHERE aid='“.$row->aid.“‚“) or die();
    return HTMLlogout ();
    }
  // ano vyprsal
  else {
    mysql_query („DELETE FROM autorizacia WHERE cas < „.(time() – AUTH_TIMEOUT)) or die();
    session_destroy ();
    }
  }
return false;

Najdôležitejším bezpečnostným prvkom autorizácie bude protokol https. Korektne napísaný skript využívajúci https musí obsahovať všetky odkazy s absolútnou cestou, k tomu si medzi konštanty (settings.php) vložíme konštantu definujúcu absolútnu cestu define ("HTTPS_PATH", "https://localhost/autorizacia/"); k súborom, ktoré si želáme mať zabezpečené. V downloade zdrojových kódov nájdete tieto odkazy už upravené.

Ukladanie sessions na serveroch obvykle ostáva v prednastavenom adresári /tmp, avšak k zvýšeniu bezpečnosti je vhodné si session ukladať do nami zvoleného adresára, a to jednoduchým pridaním funkcie session_save_path("session/autorizacia/") ešte pred volaním session_start().

Okrem súborov môžeme session ukladať aj do databázy, čo pri správnom nastavení práv k databáze posunie úroveň bezpečnosti zas o niečo vyššie. Na ukladanie sessions do databázy je potrebná funkcia session_set_save_handler plus ďalšie nami definované funkcie k práci so sessions. Tieto funkcie môžeme nájsť na internete, napr. na stránke <!– ROZMERY IMG TREBA UPRAVIT PRI ZMENE KONSTANT V ImgRndStr.php –>
<img src=“imgrndstr.php<?php echo (SID?“?“.SID:““)?>“ width=“27″ height=“21″> <input type=“text“ name=“str“ size=“3″ />

Súbory, potrebné k rozbehaniu autorizácie, sú vám k dispozícii.

Starší komentáře ke článku

Pokud máte zájem o starší komentáře k tomuto článku, naleznete je zde.