以前我们刚写PHP的时候，做后台，需要管理员身份认证。一般用COOKIE这么做的，特别是刚接触PHP的PHP爱好者： iT粉丝网
admin/login.php
PHP代码: iT粉丝网
if(用户名&&密码正确) {
setcookie('admin',1,time()+36400);
echo '登录成功';
}
PHP代码: iT粉丝网
if($_COOKIE[admin] == 1) {
echo '有权限';
}
但是这样会造成很大的安全隐患，很多浏览器可以直接修改COOKIE，或者直接在系统里修改。 iT粉丝网
只要伪造cookie，那么管理权限就拿到了
为了安全，这么做： Webjx.Com
PHP代码:
if(用户名&&密码正确) {
setcookie('userid',用户在系统中的ID,time()+36400);
setcookie('userpass',用户在系统中的32位md5密码,time()+36400);
echo '登录成功';
} Webjx.Com
判断权限的时候这么做： Webjx.Com
PHP代码:
Webjx.Com
if($_COOKIE[userid]) {
$query = mysql_query(select * user table where userid = '$_COOKIE[userid]' and userpass = '$_COOKIE[userpass]');
$row = mysql_fetch_array($query);
if($row[rank] <> 1) {
echo '没有权限';
}
}
这样伪造cookie就没有任何作用了
现在我一般都这么做，如果这个方法有什么不对的还请指出。
上一篇： PHP的语言层面的优化和代码优化
下一篇：php入门交流:鼓励学习PHP的新手
