Как выполнить код в PHP

Question

Извините, если мой вопрос прост. Пожалуйста, ознакомьтесь со следующим кодом. Я знаю, что происходит.

<?php 

    session_start(); 

if($_SERVER["REQUEST_METHOD"] == "POST") { 

    $username = $_POST['username']; 

    $login = $_POST['login'];} 

    else {echo "Connection Error";} 

    if(checking the fields is correct) { 

    //check it in database and if there is, assign the client session to the $_SESSION['username'] 

    $_SESSION['username'] = $username; 

    //Login success 

} 

У нас есть код, указанный выше. Если хакер не использует метод POST, и если он использует метод GET, в результате он должен получить сообщение echo "Connection Error";.

Теперь мой вопрос: если хакер использует метод GET вместо метода POST, а также он может правильно использовать имя пользователя и пароль, может ли он успешно выполнить вход в систему?

Answer 1

Переменные $_POST['username'] и $_POST['login'] доступны только в том случае, если пользователь отправляет запрос POST.

Я рекомендую переписывать код, как это:

<?php 

session_start(); 

if ($_SERVER["REQUEST_METHOD"] == "POST") { 

    $username = $_POST['username']; 

    $login = $_POST['login']; 

    if (checking_the_fields_is_correct($username, $login)) { 

     //check it in database and if there is, assign the client session to the $_SESSION['username'] 

     $_SESSION['username'] = $username; 

     //Login success 
    } 

} else { 

    exit("Bad request"); 

} 

Но если вы действительно думаете о безопасности, я рекомендую вам взглянуть на рамках (Symfony, Laravel), которые имеют свои собственные зрелые авторизации «модули».

Answer 2

Если вы действительно заботитесь о безопасности, вы никогда не должны реализовывать аутентификацию самостоятельно. Существует много типов нападений, которые могут быть намного сложнее, тогда вы можете сопротивляться.
Используйте любую систему аутентификации (или веб-фреймворк), и это избавит вас от множества проблем!