Zabezpečené prihlásenie

Tomáš123:
základem by mohlo být ošetření proti webovým útokům

Tomáš123:
Pomocí čeho? PHP, .htaccess? Návod na .htaccess máš třeba zde. Návod pomocí PHP a MySQL máš zase zde. Doporučuji druhou možnost.

Tomáš123:
pomocí .htaccess,viz[#3] Marschmallow

Marschmallow:
...alebo oba spôsoby skombinovať, jemne povedané.

Tomáš123:
1.) Proč máš uvedenou absolutní cestu k souboru .htpasswd? Změň ji na relativní.
2.) Každý vygenerovaný řádek na nový řádek. Každý řádek je ve tvaru jmeno:zakodovaneheslo. To jméno a heslo si sám vygeneruješ pomocí nějakého online .htpasswd generátoru - viz. [#10].

Tomáš123:
Je problém zadat do Googlu frázi .htpasswd generator? Já používám tento.
Zadáš tam jméno a heslo, kterým se chceš přihlašovat, ten generátor Ti vygeneruje řádek s tím jménem a zakódovaným heslem. Ten vložíš do souboru .htpasswd.
Pravidlo: co nový uživatel, to nový řádek.

Reaguji na Marschmallowa:
„Návod pomocí PHP a MySQL máš zase zde.“
1) Dnes se již MD5 k hashování hesel nepoužívá, doporučuji raději password_hash().
2) Používáš zastaralé rozšíření mysql_*, doporučuji raději MySQLi, nebo PDO (případně nějakou nadstavbu).
3) V registračním formuláři neošetřuješ možnosti, kdy jako nick nebo email zadám něco ve stylu " onclick="alert('XXS!');".
4) Přihlašovací skript skončí při úspěšném přihlášení chybou, protože nejdřív odešleš meta tag pro nastavení kódování, ale až poté inicializuješ session a odesíláš přesměrovávací hlavičku.
5) U přihlašovacího skriptu bys nemusel používat funkci stripslashes(), kdybys použil původní hodnotu (tj. $_POST['nick']).

Reaguji na Tomáše123:
Nevkládá tvůj editor do souborů .htaccess a .htpasswd BOM?

Tomáš123:
Příčinu chyby si obvykle přečteš v chybovém logu Apache.

Tomáš123:
Cesta kterou máš v AuthUserFile se liší od cesty, kterou vyhazuje Apache v error logu

Tomáš123:
Pravděpodobně máš uvedenu relativní cestu k souboru .htpasswd, která se odvozuje od „ServerRoot“. Pokud ho máš jinde, musí se uvést celá cesta, a pokud máš v cestě mezeru, tak se musí celá uzavřít do uvozovek.

Tomáš123:
Ulož si soubor .htpasswd do stejné složky jako .htaccess a do cesty napiš pouze .htpasswd. Bez lomítka na začátku, prostě jen ten název souboru. Pak by neměly vzniknout žádné komplikace.

Reaguji na Tomáše123:
Ehm, do uvozovek se nemá uzavřít mezera, ale celá cesta, tj. "C:/Program Files/EasyPHP-DevServer-14.1VC9/data/localweb/.htpasswd".

Tomáš123:
„Je nejaký spôsob, ako nahradiť stránku, ktorá sa generuje pri nesprávnych údajoch?“
Ano.

Byl to jen příklad. Ten soubor si můžeš vyrobit s libovolným jménem. Může to být i PHP skript nebo něco jiného.

V tých úvodzovkách.

Tomáš123:
„Po zadaní nesprávnych údajov, alebo zrušení autentifikácie sa však objavil Error 401.“
Promiň, je to moje chyba. Správný kód má být 401.

Cestu k chybové stránce uváděj vůči kořeni webu, tedy asi "/projects/My website/version 3.4/forbidden.html" (nevím, kde ti to přesně začíná). Mezerám v cestách bych se raději vyhnul, aby ty uvozovky nebyly potřeba.

Pokud bude chybová stránka v chráněné části webu, tak se k ní ještě musí povolit přístup bez autorizace.

Např. v souboru .htaccess ve stejném adresáři jako je chybová stránka:

[#27] Tomáš123:

Ty si si ten odkaz nerozklikol a dokumentáciu neprečítal, že? Píše sa tam, že text v úvodzovkách sa berie ako customized error message.