Sessions werden nicht registriert

**tcpip** · 20.06.2006, 19:40

an deinen beiden session_ Befehlen im skript ????.php ist nichts falsches. Wie geht es weiter in seite.php ?

hingegen ist als Nebenbemerkung, der test !isset($password) nicht richtig, weil u.a. md5('nichts') etwas, bzw. d41d...... gibt.

**TobiaZ** · 20.06.2006, 19:47

*lol* die neuste PHP Version, aber immernoch auf so altlasten wie session_register rumhoppeln...

**jmc** · 20.06.2006, 19:59

benutze doch mal $_SESSION['...']

Und wofür ist das?

$l_file = "german.php";
if (is_file($l_file)) {
include($l_file);
}
else
{
include("german.php");
}

Du includest die Datei, wenn sie eine ist, aber auch sonst?

**karla** · 20.06.2006, 20:05

ich habe das script nicht geschrieben :-)

in den seiten, die geschützt werden, wird folgendes eingetragen;

PHP-Code:


<? 



session_start();

include ("config.php");

 $l_file = "german.php";

    if (is_file($l_file)) {

    include($l_file);

    } else {

    include("german.php");

    }

if (!session_is_registered('username') || $_SESSION['username'] == "")

        {  die ($not_loged_in);     }



?>

wie oder was muss denn geändert werden, damit es läuft?

**tcpip** · 20.06.2006, 20:34

Original geschrieben von karla
ich habe das script nicht geschrieben :-)

Gehört sowas nicht eher in *Projekthilfe* ?

Original geschrieben von karla
wie oder was muss denn geändert werden, damit es läuft?

aus dem manual:
[color=green]If you are using $_SESSION (or $HTTP_SESSION_VARS), do not use
session_register(), session_is_registered() and session_unregister(). [/color]

Ich glaube Du möchtest herausfinden, was passiert, wenn dein
Scriptschreiber diese Regel verletzt. Oder hast von einem anderen Forum den 'Tipp'
bekommen, selber was mit $_SESSION zu beheben... (eher das zweite...)

Die anderen Bemerkungen (Sprachdatei) betrachte ich als Platzhalterei und das
Verwenden von session_register in einer funktionierenden Anwendung als vertretbar..

**TobiaZ** · 20.06.2006, 20:39

Schade mein Inet ist eben abgespackt...

Wenn mans sich genau ansieht, kann man wohl an jeder zeile etwas negatives entdecken:

session_start();
-> Naja, an fast jeder Zeile.

$username = $_REQUEST["username"];
$passwort = $_REQUEST["passwort"];
-> Du willst das Passwort doch sicher nicht per Get oder Cookie übertragen. Also _POST!

include('config.php');
-> Ich würd absoluten Pfad verwenden.

$l_file = "german.php";
if (is_file($l_file)) {
include($l_file);
}
else
{
include("german.php");
}
-> Dafür wieder die sache mit den absoluten Pfaden. Und ist doch pot wie deckel, welche german.php du nun nimmst.

$passwort = md5($passwort);
-> Das hättets du oben schon machen können, oder lass es einfach die DB machen.

if ((!isset($username)) OR (!isset($passwort)))
{
die ($verfy_no_log_1);
}
-> warum sollte eine der beiden vars nicht definiert sein, du definerst sie doch selbst!

$conn = @mysql_connect($dbserver,$dbuser,$dbpass);
if (!$conn)
{
die ($verfy_no_db_1);
}
-> das nehme ich so hin, ein "or die()" wäre schöner

mysql_select_db($dbname,$conn);
-> bei derverbindung prüfst du, hier nicht???

$query = "SELECT pass FROM pass WHERE user = '".$username."'";
-> SQL-Injection!!!

$result = mysql_query($query,$conn);
-> und was passiert, wenn du query nen fehler enthält?? Gerade bei der Query.

$zeileholen = mysql_fetch_array($result,MYSQL_ASSOC);
-> Fetch_assoc macht mehr sinn und nur, wenn es wirklich ein ergebnis gibt (der user existiert)

mysql_close($conn);
-> okay, aber hätte php 10 zeilen später auch gemacht,

if (!$zeileholen)
{
die ($verfy_no_name);
}
if ($zeileholen["pass"] <> $passwort)
{

die ($verfy_no_pass);

}
-> IDR reicht eine query die nachsieht, ob es user/pw übereinstimmen und ein numrows. (10 zeilen überflüssig.)

session_register('username');
-> wie gesagt veraltet! s. Manual

header ("Location:seite.php");
-> Location-Header immer mit absoluter URI, so ist FALSCH!

Alle bis auf eine zeile "falsch"

Nimms mir nicht übel. Das sind konstruktive verbesserungsvorschläge.

EDIT:
dummer smilie

**tcpip** · 20.06.2006, 20:45

OffTopic:
$username hat den gleichen Status wie $_REQUEST['username'] - die Prüfung
mit isset($username) ist sinnvoll. Hingegen ist $password immer gesetzt.

**karla** · 20.06.2006, 20:49

ich nehme keine kritik übel :-)
aber ich weiß jetzt immer noch nicht warum es nicht geht :-)

ich bin nicht fit genug um selber ein login script zu schreiben...
mit sessions habe ich so gut wie kein plan...

für den anfang wäre mir geholfen wenn mir jemand hilft das es schon mal läuft...

an den details würde ich später arbeiten und mir sessions inhallieren :-)

**tcpip** · 20.06.2006, 20:52

vermutlich also das:

PHP-Code:


if (!session_is_registered('username') /**|| $_SESSION['username'] == ""**/ )

Sessions werden nicht registriert