{"id":343,"date":"2011-04-28T15:15:49","date_gmt":"2011-04-28T14:15:49","guid":{"rendered":"http:\/\/www.manuelmarangoni.it\/sir-bit\/?p=343"},"modified":"2016-01-08T16:24:18","modified_gmt":"2016-01-08T15:24:18","slug":"php-creare-una-login-sicura-e-funzionale-usando-i-cookies","status":"publish","type":"post","link":"https:\/\/www.manuelmarangoni.it\/sir-bit\/343\/php-creare-una-login-sicura-e-funzionale-usando-i-cookies\/","title":{"rendered":"PHP – Creare una login sicura e funzionale usando i cookies"},"content":{"rendered":"

Quando si crea un’area di amministrazione, dove un utente qualsiasi pu\u00f2 accedere, \u00e8 indispensabile creare la pagina tenendo conto di due fattori principali:
\n– evitare le query-injections<\/strong>, cio\u00e8 rendere la vita difficile a eventuali crackers che inviino un codice dannoso che potrebbe intaccare il nostro database
\n– rispettare la privacy e la sicurezza dell’utente<\/strong>, criptandogli la password e stabilendo un tempo massimo in cui l’area di amministrazione resti “aperta”, per impedire che l’utente distratto lasci libero accesso a eventuali malintenzionati che usano il suo computer<\/p>\n

In questo tutorial vedremo come creare una semplice login facendo uso dei cookies<\/strong>, dove salvare i dati (username e password dell’utente). Vedremo inoltre quali sono le funzioni da usare per controllare i dati inviati<\/strong>.
\nIn questo esempio di base, si presuppone che gli utenti siano gi\u00e0 salvati in un database e che le loro informazioni siano contenute nei tre campi id<\/em>, username<\/em> e password<\/em>. Il campo password contiene la password dell’utente criptata con l’algoritmo md5. Mostreremo solo il codice necessario: eventuali controlli aggiuntivi e la grafica sono a vostra discrezione.<\/p>\n

Nota<\/em>: ricordo che la password andrebbe criptata con un algoritmo pi\u00f9 efficace dell’md5. In questo articolo, comunque, non stiamo badando granch\u00e9 alla sicurezza, ma solo alla procedura.<\/p>\n

Nel caso (pi\u00f9 semplice) che i dati per accedere alla login siano “fissi”, cio\u00e8 immagazzinati in variabili nella pagina, alcune delle funzioni che andiamo a vedere saranno inutili e quindi dovrete riadattarle di conseguenza.<\/p>\n\n

Download script<\/h2>\n
\n
\"[PHP]<\/div>\n
Pagina diretta alla scheda e al download del codice<\/a><\/strong><\/div>\n <\/div>\n
<\/div>\n

Il form di login<\/h2>\n

Il form di login<\/strong> avr\u00e0 questo aspetto (la grafica potete adattarla a piacimento con i fogli di stile):<\/p>\n

\n\n\n\n
\n
1\r\n2\r\n3\r\n4\r\n5\r\n6\r\n7\r\n8\r\n9\r\n10\r\n11\r\n12\r\n13<\/pre>\n<\/td>\n
\n
<form<\/span> action<\/span>=<\/span>\"\"<\/span> method<\/span>=<\/span>\"post\"<\/span>><\/span>\r\n\t<div<\/span> class<\/span>=<\/span>\"login_campo\"<\/span>><\/span>\r\n\t\tUsername:<br<\/span> \/<\/span>><\/span>\r\n\t\t<input<\/span> type<\/span>=<\/span>\"text\"<\/span> class<\/span>=<\/span>\"campo\"<\/span> name<\/span>=<\/span>\"username\"<\/span> \/<\/span>><\/span>\r\n\t<\/<\/span>div<\/span>><\/span>\r\n\t<div<\/span> class<\/span>=<\/span>\"login_campo\"<\/span>><\/span>\r\n\t\tPassword:<br<\/span> \/<\/span>><\/span>\r\n\t\t<input<\/span> type<\/span>=<\/span>\"password\"<\/span> class<\/span>=<\/span>\"campo\"<\/span> name<\/span>=<\/span>\"password\"<\/span> \/<\/span>><\/span>\r\n\t<\/<\/span>div<\/span>><\/span>\r\n\t<div<\/span> class<\/span>=<\/span>\"login_campo\"<\/span>><\/span>\r\n\t\t<input<\/span> type<\/span>=<\/span>\"submit\"<\/span> name<\/span>=<\/span>\"invia\"<\/span> value<\/span>=<\/span>\"Accedi\"<\/span>><\/span>\r\n\t<\/<\/span>div<\/span>><\/span>\r\n<\/<\/span>form<\/span>><\/span><\/pre>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n
I controlli dopo l’invio<\/h2>\n
Una volta che l’utente ha inserito i dati e inviato il form, facciamo i dovuti controlli<\/strong>. Il codice seguente andrebbe messo nella stessa pagina e prima del form che abbiamo appena visto: infatti, nel caso di errore e qualora lo riteniate necessario, \u00e8 possibile riportare i dati inseriti dall’utente all’interno degli input o mostrare un messaggio di errore. Nel nostro esempio ignoriamo questa possibilit\u00e0, ma \u00e8 bene tenerla presente.<\/p>\n
\n\n\n\n
\n
1\r\n2\r\n3\r\n4\r\n5\r\n6\r\n7\r\n8\r\n9\r\n10\r\n11\r\n12\r\n13\r\n14\r\n15\r\n16\r\n17\r\n18\r\n19\r\n20\r\n21\r\n22\r\n23\r\n24\r\n25\r\n26\r\n27\r\n28\r\n29<\/pre>\n<\/td>\n
\n
$error<\/span>=<\/span>false<\/span>;<\/span>\r\nif<\/span>(<\/span>isset<\/span>(<\/span>$_POST<\/span>[<\/span>'invia'<\/span>]<\/span>)<\/span>)<\/span>{<\/span>\r\n\r\n\t\/\/recupero i dati dell'utente, se esiste<\/span>\r\n\t$q<\/span>=<\/span>\"select * from utenti where username='\"<\/span>.<\/span>pulisci(<\/span>$_POST<\/span>[<\/span>'username'<\/span>]<\/span>)<\/span>.<\/span>\"' and password='\"<\/span>.<\/span>md5<\/span>(<\/span>pulisci(<\/span>$_POST<\/span>[<\/span>'password'<\/span>]<\/span>)<\/span>)<\/span>.<\/span>\"'\"<\/span>;<\/span>\r\n\t$query<\/span>=<\/span>mysql_query<\/span>(<\/span>$q<\/span>,<\/span> $db<\/span>)<\/span>;<\/span>\r\n\r\n\t\/\/se i dati inviati al form corrispondono a un utente, allora mi loggo, creo il cookie di sessione e vado a index.php<\/span>\r\n\tif<\/span>(<\/span>mysql_num_rows<\/span>(<\/span>$query<\/span>)<\/span>><\/span>0<\/span>)<\/span>{<\/span>\r\n\r\n\t\t$row<\/span>=<\/span>mysql_fetch_array<\/span>(<\/span>$query<\/span>)<\/span>;<\/span>\r\n\r\n\t\t\/\/immagazzinano le informazioni dell'utente in un array<\/span>\r\n\t\t$var_session<\/span>[<\/span>\"id\"<\/span>]<\/span>=<\/span>$row<\/span>[<\/span>\"id\"<\/span>]<\/span>;<\/span>\r\n\t\t$var_session<\/span>[<\/span>\"username\"<\/span>]<\/span>=<\/span>$row<\/span>[<\/span>\"username\"<\/span>]<\/span>;<\/span>\r\n\t\t$var_session<\/span>[<\/span>\"password\"<\/span>]<\/span>=<\/span>$row<\/span>[<\/span>\"password\"<\/span>]<\/span>;<\/span>\r\n\r\n\t\t\/\/setto la durata del cookies a una settimana<\/span>\r\n\t\t$time_cookie<\/span>=<\/span>3600<\/span>*<\/span>24<\/span>*<\/span>7<\/span>;<\/span>\r\n\t\tsetcookie<\/span>(<\/span>\"session\"<\/span>,<\/span> $var_session<\/span>[<\/span>\"username\"<\/span>]<\/span>.<\/span>'_&&_'<\/span>.<\/span>$var_session<\/span>[<\/span>\"password\"<\/span>]<\/span>,<\/span> time<\/span>(<\/span>)<\/span>+<\/span>$time_cookie<\/span>)<\/span>;<\/span>\r\n\r\n\t\t\/\/vado a index.php<\/span>\r\n\t\theader<\/span>(<\/span>\"location: index.php\"<\/span>)<\/span>;<\/span>\r\n\r\n\t\/\/nessuna corrispondenza con gli utenti: non mi loggo e ritorno al form<\/span>\r\n\t}<\/span>else<\/span>\r\n\t\t$error<\/span>=<\/span>true<\/span>;<\/span>\r\n\r\n}<\/span><\/pre>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n
I commenti spiegano gran parte del codice. Riassumendo, cosa abbiamo fatto?<\/p>\n
1) Cerco nel database l’utente che ha username e password pari a quelli inseriti dall’utente. Se lo trovo, allora posso settare il cookie di sessione. Da notare che prima del controllo cripto la password<\/strong> inviata dall’utente in md5, in modo da poterla confrontare nel database. La funzione pulisci()<\/em>, che vediamo tra poco, serve a evitare il passaggio di caratteri dannosi per il database.<\/p>\n
2) Immagazzino i dati di accesso dell’utente<\/strong> nell’array $session[]. In questo modo li avr\u00f2 sempre a disposizione nel caso di bisogno (per esempio per messaggi di benvenuto). Qua va comunque a vostra discrezione: io consiglierei di immagazzinare per lo meno l’id dell’utente in una variabile. In alternativa, sar\u00e0 possibile recuperare i dati direttamente dai cookies, in un modo meno immediato.
\nNota<\/em>: i dati potrebbero essere salvati in variabili di sessioni (per esempio $_SESSION[“username”]), anzich\u00e9 nell’array visto sopra ($session[]). La scelta \u00e8 a discrezione del programmatore.<\/p>\n\n
3) Creo il cookies di nome “session”<\/strong>, che contiene l’username e la password dell’utente. Il cookies ha una validit\u00e0 di una settimana (60*60*24*7 secondi), dopodich\u00e9 l’utente si deve loggare di nuovo. E’ chiaro che se l’utente canceller\u00e0 manualmente il cookie di sessione prima della scadenza, dovr\u00e0 essere ricreato con una nuova login.<\/p>\n
4) Reindirizzo l’utente alla pagina index.php<\/em>, dove avr\u00e0 accesso al pannello di amministrazione.<\/p>\n
Vediamo adesso la funzione per eliminare gli eventuali caratteri pericolosi<\/strong> inviati in fase di login, pi\u00f9 o meno consapevolmente dall’utente:<\/p>\n
\n\n\n\n
\n
1\r\n2\r\n3\r\n4\r\n5\r\n6\r\n7\r\n8\r\n9\r\n10\r\n11\r\n12\r\n13\r\n14\r\n15\r\n16<\/pre>\n<\/td>\n
\n
function<\/span> pulisci(<\/span>$login<\/span>)<\/span>{<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\";\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\":\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\",\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\"'\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\"*\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\"?\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\"=\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\"&\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\"%\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\"$\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\"<\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\">\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\t$login<\/span>=<\/span>str_replace<\/span>(<\/span>\"#\"<\/span>,<\/span>\"\"<\/span>,<\/span>$login<\/span>)<\/span>;<\/span>\r\n\treturn<\/span> $login<\/span>;<\/span>\r\n}<\/span><\/pre>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n
Il controllo del cookie di sessione<\/h2>\n
Il tutorial per il controllo della login \u00e8 concluso. Prima di chiudere, per\u00f2, un’ultima annotazione: una volta settati i cookies, come funziona il controllo dell’area di amministrazione<\/strong>? In altre parole, come ci assicuriamo che il cookies sia valido e che l’utente abbia i permessi per accedere?
\nCi viene in aiuto un’altra funzione, che deve essere richiamata in ogni pagina:<\/p>\n
\n\n\n\n
\n
1\r\n2\r\n3\r\n4\r\n5\r\n6\r\n7\r\n8\r\n9\r\n10\r\n11\r\n12\r\n13\r\n14\r\n15\r\n16\r\n17\r\n18\r\n19\r\n20\r\n21\r\n22\r\n23\r\n24\r\n25\r\n26\r\n27\r\n28\r\n29<\/pre>\n<\/td>\n
\n
\/\/funzione per il controllo dei cookies<\/span>\r\nfunction<\/span> controllo_cookie(<\/span>)<\/span>{<\/span>\r\n\r\n\tglobal<\/span> $db<\/span>,<\/span> $var_session<\/span>;<\/span>\r\n\r\n\tif<\/span>(<\/span>isset<\/span>(<\/span>$_COOKIE<\/span>[<\/span>'session'<\/span>]<\/span>)<\/span>)<\/span>{<\/span>\r\n\r\n\t\t\/\/prendo username e md5(password) presente nel cookie<\/span>\r\n\t\t$tmp<\/span>=<\/span>split<\/span>(<\/span>\"_&&_\"<\/span>,<\/span> $_COOKIE<\/span>[<\/span>'session'<\/span>]<\/span>)<\/span>;<\/span>\r\n\t\tif<\/span>(<\/span>count<\/span>(<\/span>$tmp<\/span>)<\/span>!=<\/span>2<\/span>)<\/span>\r\n\t\t\treturn<\/span> false<\/span>;<\/span>\r\n\r\n\t\t\/\/confronto username e password del cookie con il database<\/span>\r\n\t\t$query<\/span>=<\/span>mysql_query<\/span>(<\/span>\"select * from utenti where username='\"<\/span>.<\/span>$tmp<\/span>[<\/span>0<\/span>]<\/span>.<\/span>\"' and password='\"<\/span>.<\/span>$tmp<\/span>[<\/span>1<\/span>]<\/span>.<\/span>\"'\"<\/span>,<\/span> $db<\/span>)<\/span>;<\/span>\r\n\r\n\t\tif<\/span>(<\/span>mysql_num_rows<\/span>(<\/span>$query<\/span>)<\/span>><\/span>0<\/span>)<\/span>{<\/span>\r\n\t\t\t$row<\/span>=<\/span>mysql_fetch_array<\/span>(<\/span>$query<\/span>)<\/span>;<\/span>\r\n\t\t\t\/\/immagazzinano le informazioni dell'utente in un array<\/span>\r\n\t\t\t$var_session<\/span>[<\/span>\"id\"<\/span>]<\/span>=<\/span>$row<\/span>[<\/span>\"id\"<\/span>]<\/span>;<\/span>\r\n\t\t\t$var_session<\/span>[<\/span>\"username\"<\/span>]<\/span>=<\/span>$row<\/span>[<\/span>\"username\"<\/span>]<\/span>;<\/span>\r\n\t\t\t$var_session<\/span>[<\/span>\"password\"<\/span>]<\/span>=<\/span>$row<\/span>[<\/span>\"password\"<\/span>]<\/span>;<\/span>\r\n\t\t\treturn<\/span> true<\/span>;<\/span>\r\n\t\t}<\/span>else<\/span>\r\n\t\t\treturn<\/span> false<\/span>;<\/span>\r\n\r\n\t}<\/span>else<\/span>\r\n\t\treturn<\/span> false<\/span>;<\/span>\r\n\r\n}<\/span><\/pre>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n
Nell’ordine:
\n1) Controllo l’esistenza del cookie di nome “session”.
\n2) Immagazzino l’username e la password dell’utente (che erano presenti nel cookie, separati dalla stringa “_&&_”) in un array. In questo modo posso estrarli agevolmente.
\n3) Controllo che l’utente con i dati estratti dal cookie sia esistente nel database<\/strong>.<\/p>\n
Adesso non dobbiamo fare altro che eseguire il controllo tramite la funzione, all’inizio di ogni pagina e prima di qualsiasi altra cosa. Se il controllo ha successo (il cookie \u00e8 trovato e la corrispondenza dati-database \u00e8 dimostrata), permetto all’utente di proseguire. Altrimenti, se il controllo d\u00e0 false<\/em>, reindirizzo l’utente alla pagina di login:<\/p>\n
\n\n\n\n
\n
1\r\n2\r\n3\r\n4\r\n5<\/pre>\n<\/td>\n
\n
if<\/span>(<\/span>!<\/span>controllo_cookie(<\/span>)<\/span>)<\/span>{<\/span>\r\n\theader<\/span>(<\/span>\"location: login.php\"<\/span>)<\/span>;<\/span>\r\n}<\/span>else<\/span>{<\/span>\r\n\t\/\/codice da mostrare<\/span>\r\n}<\/span><\/pre>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n","protected":false},"excerpt":{"rendered":"
Con poche funzioni e l’uso dei cookies, possiamo creare una login sicura per permettere all’utente di accedere a un’area di amministrazione. Ecco come costruire, in pochi passaggi, la base di un pannello di controllo<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[78],"tags":[4,6,30],"class_list":["post-343","post","type-post","status-publish","format-standard","hentry","category-php-mysql","tag-php","tag-script","tag-sicurezza","cat-78-id"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/www.manuelmarangoni.it\/sir-bit\/wp-json\/wp\/v2\/posts\/343"}],"collection":[{"href":"https:\/\/www.manuelmarangoni.it\/sir-bit\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.manuelmarangoni.it\/sir-bit\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.manuelmarangoni.it\/sir-bit\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.manuelmarangoni.it\/sir-bit\/wp-json\/wp\/v2\/comments?post=343"}],"version-history":[{"count":21,"href":"https:\/\/www.manuelmarangoni.it\/sir-bit\/wp-json\/wp\/v2\/posts\/343\/revisions"}],"predecessor-version":[{"id":2161,"href":"https:\/\/www.manuelmarangoni.it\/sir-bit\/wp-json\/wp\/v2\/posts\/343\/revisions\/2161"}],"wp:attachment":[{"href":"https:\/\/www.manuelmarangoni.it\/sir-bit\/wp-json\/wp\/v2\/media?parent=343"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.manuelmarangoni.it\/sir-bit\/wp-json\/wp\/v2\/categories?post=343"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.manuelmarangoni.it\/sir-bit\/wp-json\/wp\/v2\/tags?post=343"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}