Session für einen bestimmten User

Orion · 30. November 2015, 11:08

Guten Tag Zusammen

Habe wieder mal eine Frage. Ich habe hier PHP Sessions. Diese prüfen aber nur ob man eingeloggt ist. Nun möchte ich einen Adminbereich einrichten für einen bestimmten User. Kann ich da nun irgendwie abfragen wenn der Username = "dummy" ist, hat er Zugriff und sonst nicht?

mfg

Orion

ThuCommix · 30. November 2015, 11:24

Meinst du sowas?:

PHP-Quellcode

if($_SESSION['user'] == "Bernd"){
$controller->buildAdminArea();
}
else {
$controller->permissionDenied();
}

Orion · 30. November 2015, 11:39

Ich hab jetzt sowas hier versucht:

PHP-Quellcode

if(!isset($_SESSION["username"]))
{
header("Location: ../login.html");
exit;
}
if(!isset($_SESSION["adm_chek"]))
{
header("Location: ../login.html");
exit;
}

Mit dem ersten prüfe ich ob überhaupt ein user eingeloggt ist und im 2. möchte ich einen custom Boolean prüfen mit dem ich in der DB direkt sage ob der User Admin ist oder nicht aber es funktioniert einfach nicht. Ist es so auch irgendwie möglich und was mach ich da falsch? Somit könnte ich mehreren Usern in der DB direkten Zugriff geben statt jeden Namen einzeln zu schreiben.

EDIT: Ausserdem scheint deine Variante @ThuCommix auch nicht wirklich zu funktionieren x.x

ThuCommix · 30. November 2015, 11:47

Was genau funktioniert denn nicht? Startest du auch deine Sessions immer?

Orion · 30. November 2015, 11:51

Ja der Code davor:

PHP-Quellcode

<?php
session_start();
?>
<?php
if(!isset($_SESSION["username"]))
{
header("Location: ../login.html");
exit;
}
if(!isset($_SESSION["adm_chek"]))
{
header("Location: ../login.html");
exit;
}
?>

Ich kann immer noch mit jedem User in den Admin Bereich gehen wenn ich deine Variante anwende und bei meiner ebenso.

slice · 30. November 2015, 11:54

Und wo setzt du den Wert adm_chek?

Orion · 30. November 2015, 11:58

Den hab ich in der Datenbank direkt als Boolean. Also wenn ich einen User zum "Admin" machen will setz ich den Wert einfach auf True:
PS.: Nicht falsch verstehen, der Admin hier ist nur ein allgemeiner User der seit dem Anfang einfach noch nicht umbenannt wurde. Ist also kein echter Admin.

slice · 30. November 2015, 12:10

Das war nicht ganz die Frage, sondern wo du $_SESSION["adm_chek"] den Wert zuweist (tust du das überhaupt?)

Orion · 30. November 2015, 12:59

slice schrieb:

Das war nicht ganz die Frage, sondern wo du $_SESSION["adm_chek"] den Wert zuweist (tust du das überhaupt?)

Dann versteh ich nicht was du meinst.

Wie meinst du das genau mit dem Wert zuweisen?

ThuCommix · 30. November 2015, 13:03

Du musst $_SESSION["adm_check"] auch mit einen Wert aus deiner DB belegen.

Orion · 30. November 2015, 13:17

Hmm... Jetzt hab ich gerade den Durchblick verloren. Hab schon länger nichts mehr mit Sessions gemacht. Aber wäre das dann sowas wie:

PHP-Quellcode

Boolean $adm_chek = $_SESSION["adm_chek"] == $_POST["adm_chek"];
if($adm_chek != TRUE)
{
header("Location: ../login.html");
exit;
}

Orion · 30. November 2015, 15:27

Nochmal ein Update:

PHP-Quellcode

$_SESSION["adm_chek"] = $_POST["adm_chek"];
if($_SESSION["adm_chek"]==FALSE)
{
header("Location: ../login.html");
exit;
}

Hab es jetzt so geschrieben, das müsste doch funktionieren oder nicht?

slice · 30. November 2015, 20:59

Und wo arbeitest du jetzt mit dem Wert aus der Datenbank? Ich könnte jetzt einfach im Post adm_chek mit senden und hätte "adminrechte", nicht ganz das was du willst oder?

Orion · 30. November 2015, 21:46

Die Sicherheit hierbei ist eigentlich nebensächlich. Es muss einfach von der Trennung her funktionieren. Da es in einer kleineren Umgebung privat laufen wird und der Herr des Hauses unbedingt seine eigene Verwaltung haben möchte. Kann mir irgendjemand ein kurzes Beispiel machen? Ich versteh nicht ganz wie der Ablauf funktionieren sollte hierbei.

Lukas · 1. Dezember 2015, 03:15

Sicherheit ist nie nebensächlich, egal wo das am Ende läuft.

Du schreibst doch, dass es ein *Adminbereich* sein soll. Mit der Mentalität kannste das auch gleich jedem Benutzer auf der Hauptseite präsentieren.

Orion · 1. Dezember 2015, 08:34

Klar ist sie nebensächlich. Die momentane Prio ist aber das er das Ding unbedingt haben will so schnell wie es geht und ich sagte ihm auch das ich das nicht so schnell hinkriege weil ich den Sicherheitsaufbau studieren müsste und er meinte eben das wäre egal. Da die andern sowieso nur kurz drüber schauen und dann wieder weg sind. Am besten wärs für ihn einfach wenn er mit einem einfachen PW in den Bereich kommt und sich von da wieder abmelden kann.

ThuCommix · 1. Dezember 2015, 09:08

Ja klar, aber es ist ja auch nicht viel Arbeit den Wert aus der SQL Datenbank zu holen oder?

slice · 1. Dezember 2015, 10:04

Dann leg den "Adminbereich" in einen eigenen Ordner (mit eigenen Scripten), werf n "htaccess" drüber und verlinke den Bereich, so brauchst du kein Session handling zu machen, er hat seinen "Adminbereich" und es ist relativ sicher (solange der Webserver nicht fehlerhaft ist/falsch konfiguriert ist/plaintext verwendet wird).

Orion · 1. Dezember 2015, 10:05

Das hab ich momentan so gelöst. Das Problem ist bei htaccess kann man sich nicht abmelden/ausloggen.

Link · 1. Dezember 2015, 10:10

Hi,

ungetestetes Beispiel, sollte aber stimmen:

PHP-Quellcode

<?php
session_start();
# Wenn Login-Formular submitted wurde ...
if(isset($_POST['login'])){
# Wenn Benutzername und Passwort übergeben wurden und nicht leer ist
if(isset($_POST['user']) && isset($_POST['pass']) && !empty($_POST['user']) && !empty($_POST['user'])){
# Datenbankabfrage starten und checken, ob eingegebene Login-Daten mit einem Eintrag in der Tabelle übereinstimmen
$ValidUser = $pdo->query("SELECT * FROM `tbl_users` WHERE LOWER(username) = " . $pdo->quote(strtolower($_POST['user'])) . " AND `password` = " . $pdo->quote(sha1($_POST['pass'])) . "")->fetch();
if(!empty($ValidUser) && $ValidUser != false && isset($ValidUser['id'])){
# Login erfolgreich
$_SESSION['adm_check'] = true; # Deine adm_check Variable
$_SESSION['user'] = $ValidUser; # Zugriff auf Benutzereigenschaften während der Sitzung
header("Location: /admin_portal/index.php");
}else{
$msg = "Benutzername und/oder Passwort sind falsch";
}
}else{
$err = "Benutzername und Passwort sind Pflichtfelder";
}
}
?>

Am besten wärs für ihn einfach wenn er mit einem einfachen PW in den Bereich kommt und sich von da wieder abmelden kann.

Das kannste mit .htaccess und .htpasswd auch einfacher haben^^

Mehr zu Sessions: php.net/manual/en/session.configuration.php
Und interessant auch das hier: stackoverflow.com/questions/83…he-session-timeout-in-php

Das hab ich momentan so gelöst. Das Problem ist bei htaccess kann man sich nicht abmelden/ausloggen

STRG+Shift+Entf -> abgemeldet, tadaa

Edit: gibt da wohl was für Firefox, check mal den Thread: stackoverflow.com/questions/11…d-htpasswd-authentication

Link :thumbup:

Session für einen bestimmten User

Session für einen bestimmten User

PHP-Quellcode

PHP-Quellcode

PHP-Quellcode

slice schrieb:

PHP-Quellcode

PHP-Quellcode

PHP-Quellcode

Tags

Ähnliche Themen

5 Benutzer haben hier geschrieben