用Session对Web页面进行保护 |
|
| 来源：互联网 作者：未知 发布时间：2007-12-15 |
|
|
在很多时候，我们都要对某些Web 页面进行安全保护。典型的例子就是前台浏览页面与后台管理页面的安全性。这也是 WEB 上用得最多的一种页面安全模式。在用PHP4 开发一个小型的书籍管理系统中，我也遇到了这个安全问题。于是我想到了PHP4 的新特性----Session ..
要求目的：同一站点，无权用户，一般授权用户和超级用户能看到和使用不同的页面。
实现办法：在要保护的页面 include 不同级别的安全检验摸板。
注意事项：
1 > 要避免用户浏览器不使用 cookie 而不能浏览受保护的页面（session 默认使用客户端的 cookie).
2 > 要防止权限被盗用。（ PHP 4 的 session 的默认存活期间是从建立 session 开始到关闭浏览器为止。）
如何使用：
1 > 在需要一般保护的页面的代码最前边加上 include ("secturity2.php"); 就行了
2 > 在需要特殊保护的页面的代码最前边加上 include ("secturity1.php"); 和 include ("secturity2.php"); 就行了
（假设所有文件都在同一个文件夹里）
程序代码及详细解释：
security1.php 特殊用户页面保护摸板
security2.php 一般用户页面保护摸板 www.phperz.com
login2.php 用户登陆页面
我们先来看 login2.php （用户登陆页面）的代码：
<?php
session_register("user");#增加用户名变数
session_register("password"); #增加密码变数
session_register("tmLast"); #增加时间变数
if( $user==""){#判断是否是第一次登陆
$error="Chooseyounameandinputthepasswordplease!";
}
$tmLast=date("U"); #记录登陆时间
if($user1)
$user=trim( $user1); #记录用户名（引用user1变量是为什么？请读者自己思考。）
$password=trim( $password1); #记录密码
if($user1&&$password1){
if( $password1==888){ #判断登陆密码是否是默认密码888结束 PHP 程式
$sid="PHPSESSID=".session_id(); #保存当前session的ID号
$warning="Yourpasswordisstillthedefaultpassword888,pleasechangeit.";
header("Location:changePassword.php? $sid&warning= $warning"); #传递警告参数warning到changePassword.php 页面 phperz.com
exit(); #立刻结束 PHP 程式
}
if(strtolower( $user)=="root"){ #判断登陆用户是否是超级用户，可以自行扩充用户
$fileName="backend_index.php";
}
else{
if(! $fileName) #判断进入登陆页面的上一页是否是受保护页面
$fileName="index.php";
}
$sid="PHPSESSID=".session_id(); #保存当前session的ID号
header("Location: $fileName? $sid); #登陆成功进入指定页面，传递当前session的ID号，防止用户不使用 cookie 而读不到 session 值
exit(); #立刻结束 PHP 程式
}
?>
<html>
<title></title>
<head>
<linkrel="stylesheet"href="class/style.css">
<metahttp-equiv="Content-Type"content="text/html;charset=gb2312">
</head>
<h2>LoginPage</h2>
<?php
echo" $error"; #显示登陆提示
?>
<formaction="<?phpecho $PHP_SELF；#提交到当前页?>"method=post> www.phperz.com
<P><b>Name：</b>
<?php
include("class/dbclass.inc"); #调用dbclass.inc类，用法和 mysql.inc 类一样
$q=newDB_Sql; #定义一个新的对象
$q->connect( $Host, $Database, $User, $Password); #连接 mysql数据库
$query="selectchrUserName,chrFirstName,chrLastName".
"fromUser".
"wherechrFirstName!=''".
"orderbychrFirstName";
$q->query( $query); #执行sql语句
echo"<selectname=user1size=1>";
while( $q->next_record()){ #从数据库中调出一般用户
if( $user== $q->f(0)) #判断是否是当前用户
$select="selected"; #是当前用户则设置为默认值
else
$select="";
echo"<optionvalue='". $q->f(0)."'$select>".
ucfirst( $q->f(1))."". #用户名首字大写
ucfirst( $q->f(2))."</option>";
} phperz.com
echo"</select>";
?></P>
<P><b>Password：</b><INPUTname=password1type=password></P>
<INPUTname=tmLasttype=hiddenvalue=<?phpechodate("U")?>>
<INPUTname=fileNametype=hiddenvalue=<?phpecho $fileName?>>
<P><INPUTname=submittype=submitvalue=确认></P>
</form>
security2.php （一般用户页面保护摸板）：
<?php
session_register("user"); #说明同上
session_register("password");
session_register("tmLast");
if($fileName=="")
$fileName= $PHP_SELF; #记录当前页面路径
if($durtime=="")
$durtime=300; #设置 session “失效”时间
$currtime=date("U");
if(( $currtime- $tmLast)> $durtime){ #判断 session是否“失效”
|
| 上一页12 下一页 |
| [收藏此页] [打印本页] [返回顶部] |
|
|
|
|
|
| |
|
|
|
|
