Optimierung von Login Session mit PHP & MySQL

[ddjjmm]

Hallo zusammen

ich habe mich durch diverse Tutorials gearbeitet und letztendlich für meine Seite ein Login Session Skript gebaut mit Anbindung an die MySQL Datenbank.

Es funktioniert auch einwandfrei, allerdings bin ich mir nicht ganz sicher ob es so elegant umgesetzt ist bzw. ob man es optmimieren kann, daher wollte ich es hier kurz vorstellen und Rückmeldungen & Tipps einholen:

In der header.php und damit auf jeder Seite ist folgendes sofort zum Abfragen eines gültigen Logins zu Beginn:

<?php include ("logincheck.php"); ?>

Die Datei logincheck.php sieht wie folgt aus:

<?php 
session_start(); 
include_once("config.inc.php");
if (!isset ($_SESSION["user_id"])) 
{ 
  header ("Location: index.php"); // Redirect wenn ohne Login Session
} 
?>

In der config.inc.php habe ich den Verbindungsaufbau zur Datenbank realisiert:

<?php 

// Datenbank Zugangsdaten

// Datenbankserver: Servername oder IP-Adresse
$dbserver = "localhost";

// Datenbank Benutzer
$dbuser = "dbusername";

// Datenbank Passwort
$dbpw = "dbpasswort";

// Datenbank Name
$dbname = "dbname";

// Datenbank Tabellen
$dbtable_user = "benutzerdaten";
$dbtable_bestand = "bestand";

// Verbindung aufbauen
@$db = new mysqli($dbserver, $dbuser, $dbpw, $dbname) or die("Keine Verbindung zur Datenbank!");

// Pruefen ob die Datenbankverbindung hergestellt werden konnte
if (mysqli_connect_errno() == 0)
{
    /*
     * Hier wird Code ausgefuehrt, wenn die Datenbankverbindung
     * fehlerfrei hergestellt werden konnte.
     */
}
else
{
    // Es konnte keine Datenbankverbindung aufgebaut werden
    echo 'Die Datenbank konnte nicht erreicht werden. Folgender Fehler trat auf: <span class="hinweis">' .mysqli_connect_errno(). ' : ' .mysqli_connect_error(). '</span>';
}

Und sollte der User nicht bereits eingeloggt sein, wird er auf die Loginseite umgeleitet und die Formulardaten an folgende login.php schickt:

<?php 
// Session starten
session_start();

include_once("config.inc.php");

$sql = "SELECT ". "Id, Nickname, Nachname, Vorname "."FROM "."benutzerdaten "."WHERE "."(Nickname like '".$_REQUEST["name"]."') AND "."(Kennwort = '".md5 ($_REQUEST["pwd"])."')"; 

$result = $db->query($sql);

if (mysqli_num_rows($result) > 0) 
{ 
  // Benutzerdaten in ein Array auslesen. 
  $data = mysqli_fetch_array ($result); 

  // Sessionvariablen erstellen und registrieren - Sachen die übernommen werden sollen
  $_SESSION["user_id"] = $data["Id"]; 
  $_SESSION["user_nickname"] = $data["Nickname"]; 
  $_SESSION["user_nachname"] = $data["Nachname"]; 
  $_SESSION["user_vorname"] = $data["Vorname"]; 

  header ("Location: start.php"); // Weiterleitung bei korrektem Login
} 
else 
{ 
  header ("Location: index.php?fehler=1"); 
} 
?>

Gibt es soweit für meine Vorgehensweise Ratschläge? Mache ich etwas falsch oder gar unnötig kompliziert? Später sollen weitere Datenbankabfrage und auch Updates durch den Nutzer stattfinden.

Vielen Dank im Voraus

 

[Robbyn-]

AW: Optimierung von Login Session mit PHP & MySQL

Bis auf das du mysqli mit z.b. $db->num_rows oder $db->query nutzen kannst eigentlich alles super sauber geschrieben.

Da du ja die Verbindung zur Datenbank in einer Variable ($db) schreibst kannst du damit auch arbeiten.


P.S. Was mir noch aufgefallen ist, das du vielleicht bei deinem query ein sql_escape_string mindestens machen solltest, ansonsten kann man schnell SQL-Injectionen haben.

 

[ddjjmm]

AW: Optimierung von Login Session mit PHP & MySQL

Bis auf das du mysqli mit z.b. $db->num_rows oder $db->query nutzen kannst eigentlich alles super sauber geschrieben.

Da du ja die Verbindung zur Datenbank in einer Variable ($db) schreibst kannst du damit auch arbeiten..

Kannst du mir erläutern wie du das genau meinst mit num_rows bzw. query und mysqli? Dachte ich habe es richtig mit mysqli verwendet?

Arbeite mich erst in MySQL ein, daher bin ich noch nicht voll im Bilde der Möglichkeiten bzw. der Fachbegriffe

 

[Robbyn-]

AW: Optimierung von Login Session mit PHP & MySQL

Wie du es bei deinem query gemacht hast

$result = $db->query($sql);

so sollte es dann auch bei deinem num_rows und fetch_array aussehen

$result->num_rows();

oder

$db->num_rows($result);




$result->fetch_array

oder

$db->fetch_array($result);