«
用Session对Web页面进行保护

时间：2008-5-31    作者：Deri    分类： 分享 

   <p>　　在很多时候，我们都要对某些Web 页面进行安全保护。典型的例子就是前台浏览页面与后台管理页面的安全性。这也是 WEB 上用得最多的一种页面安全模式。在用PHP4 开发一个小型的书籍管理系统中，我也遇到了这个安全问题。于是我想到了PHP4 的新特性----Session ..</p><p>　　要求目的：同一站点，无权用户，一般授权用户和超级用户能看到和使用不同的页面。</p><p>　　实现办法：在要保护的页面 include 不同级别的安全检验摸板。</p><p>　　注意事项：</p><p>　　1 > 要避免用户浏览器不使用 cookie 而不能浏览受保护的页面（session 默认使用客户端的 cookie).</p><p>　　2 > 要防止权限被盗用。（ PHP 4 的 session 的默认存活期间是从建立 session 开始到关闭浏览器为止。）</p><p>　　如何使用：</p><p>　　1 > 在需要一般保护的页面的代码最前边加上 include ("secturity2.php"); 就行了</p><p>　　2 > 在需要特殊保护的页面的代码最前边加上 include ("secturity1.php"); 和 include ("secturity2.php"); 就行了</p><p>　　（假设所有文件都在同一个文件夹里）</p><p>　　程序代码及详细解释：</p><p>　　security1.php 特殊用户页面保护摸板</p><p>　　security2.php 一般用户页面保护摸板</p><p>　　login2.php 用户登陆页面</p><p>　　我们先来看 login2.php （用户登陆页面）的代码：</p><p>　　<code><?php<br />session_register("user");#增加用户名变数<br />session_register("password"); #增加密码变数<br />session_register("tmLast"); #增加时间变数<br />if($user==""){#判断是否是第一次登陆<br />$error="Chooseyounameandinputthepasswordplease!";<br />}<br />$tmLast=date("U"); #记录登陆时间<br />if($user1)<br />$user=trim($user1); #记录用户名（引用user1变量是为什么？请读者自己思考。）<br />$password=trim($password1); #记录密码<br />if($user1&&$password1){<br />if($password1==888){ #判断登陆密码是否是默认密码888结束 PHP 程式<br />$sid="PHPSESSID=".session_id(); #保存当前session的ID号<br />$warning="Yourpasswordisstillthedefaultpassword888,pleasechangeit.";<br />header("Location:changePassword.php?$sid&warning=$warning"); #传递警告参数warning到changePassword.php 页面<br />exit(); #立刻结束 PHP 程式<br />}<br />if(strtolower($user)=="root"){ #判断登陆用户是否是超级用户，可以自行扩充用户<br />$fileName="backend_index.php";<br />}<br />else{<br />if(!$fileName) #判断进入登陆页面的上一页是否是受保护页面<br />$fileName="index.php";<br />}<br />$sid="PHPSESSID=".session_id(); #保存当前session的ID号<br />header("Location:$fileName?$sid); #登陆成功进入指定页面，传递当前session的ID号，防止用户不使用 cookie 而读不到 session 值<br />exit(); #立刻结束 PHP 程式<br />}<br />?><br /><html><br /><title></title><br /><head><br /><linkrel="stylesheet"href="class/style.css"><br /><metahttp-equiv="Content-Type"content="text/html;charset=gb2312"><br /></head><br /><h2>LoginPage</h2><br /><?php<br />echo"$error"; #显示登陆提示<br />?><br /><formaction="<?phpecho$PHP_SELF；#提交到当前页?>"method=post><br /><P><b>Name：</b><br /><?php<br />include("class/dbclass.inc"); #调用dbclass.inc类，用法和 mysql.inc 类一样<br />$q=newDB_Sql; #定义一个新的对象<br />$q->connect($Host,$Database,$User,$Password); #连接 mysql数据库<br />$query="selectchrUserName,chrFirstName,chrLastName".<br />"fromUser".<br />"wherechrFirstName!=''".<br />"orderbychrFirstName";<br />$q->query($query); #执行sql语句<br />echo"<selectname=user1size=1>";<br />while($q->next_record()){ #从数据库中调出一般用户<br />if($user==$q->f(0)) #判断是否是当前用户<br />$select="selected"; #是当前用户则设置为默认值<br />else<br />$select="";<br />echo"<optionvalue='".$q->f(0)."'$select>".<br />ucfirst($q->f(1))."". #用户名首字大写<br />ucfirst($q->f(2))."</option>";<br />}<br />echo"</select>";<br />?></P><br /><P><b>Password：</b><INPUTname=password1type=password></P><br /><INPUTname=tmLasttype=hiddenvalue=<?phpechodate("U")?>><br /><INPUTname=fileNametype=hiddenvalue=<?phpecho$fileName?>><br /><P><INPUTname=submittype=submitvalue=确认></P><br /></form><br />security2.php （一般用户页面保护摸板）：<br /><?php<br />session_register("user"); #说明同上<br />session_register("password");<br />session_register("tmLast");<br />if($fileName=="")<br />$fileName=$PHP_SELF; #记录当前页面路径<br />if($durtime=="")<br />$durtime=300; #设置 session “失效”时间<br />$currtime=date("U");<br />if(($currtime-$tmLast)>$durtime){ #判断 session是否“失效”<br />//session_destroy();<br />$error=urlencode("Seesionexpired.Loginagainplease!");<br />header("Location:login2.php?fileName=$fileName&error=$error&user=$user"); #跳到重新登陆页<br />exit();<br />}<br />else{<br />$tmLast=$currtime; # session 没“失效”则更新最后“登陆”时间<br />}<br />include("class/dbclass.inc");<br />$q=newDB_Sql;<br />$q->connect($Host,$Database,$User,$Password);<br />$query="selectidUserfromUser".<br />"wherechrUserName='$user'".<br />"andchrPasswd='$password'";<br />$q->query($query);<br />if(!$q->num_rows()){ #判断是否找到密码匹配的用户<br />$error=urlencode("PasswordiswrongorNoprivilegeuser.");<br />header("Location:login2.php?fileName=$fileName&error=$error&user=$user"); #跳到密码错误登陆页<br />}<br />else{<br />$sid="PHPSESSID=".session_id();<br />$q->next_record();<br />$USERID=$q->f(idUser); #保存通过验证用户的ID号，方便以后使用<br />}<br />?></code></p>
<p> </p>

   <p>　　security1.php （特殊用户页面保护摸板）：</p><p>　　<code><?php<br />session_register("user"); #说明同上<br />$privilege="root,macro,jackie"; #设置超级用户名单列表，用“，”隔开<br />$pieces=explode(",",$privilege); #取得单个超级用户名单<br />for($i=0;$i<count($pieces);$i++){<br />if(strtolower($user)==$pieces[$i]){ #判断是否是超级用户<br />$hasPrivilege=1;<br />break; #跳出判断循环<br />}<br />}<br />if(!$hasPrivilege){<br />if($fileName=="")<br />$fileName=$PHP_SELF;<br />$error=urlencode("Youhavenoprivilegetoviewthispage!");<br />header("Location:login2.php?fileName=$fileName&error=$error&id=$id");<br />exit(); #跳到无权用户登陆页面<br />}<br />?></code></p><p>　　上述程序由 Macro Zeng保留完整解释权。</p></p>