个人中心
文章发布
退出
作者热门文章
- android - RelativeLayout 背景可绘制重叠内容
- android - 如何链接 cpufeatures lib 以获取 native android 库？
- java - OnItemClickListener 不起作用，但 OnLongItemClickListener 在自定义 ListView 中起作用
- java - Android 文件转字符串
28
4
首先，我想开始说我对 PHP 一无所知，所以我将不胜感激能得到的所有帮助。所以我在 godaddy 上托管了一个网站，我在那里为我的客户上传文件。在一位 friend 的帮助下，我制作了一个带有用户名和密码的简单登录系统。问题是虽然不输入用户名和密码不能访问网站，但是.jpg之类的文件直接在浏览器输入完整链接就可以访问了。我希望它是通过用户网页访问文件的唯一方式。此外，我希望每个用户只能访问自己的文件，而不能访问其他文件。所以这是我的代码，如果需要进行任何其他更改以避免黑客攻击，我将不胜感激。
用于输入用户名和密码的表单的 index.php 文件代码:
<form name="form1" method="post" action="checklogin.php">
<div class="lefts">
<p>Login:</p>
<p>Password:</p>
</div>
<div>
<input name="myusername" type="text" id="myusername" />
<input name="mypassword" type="password" id="mypassword" />
</div>
<div><input type="image" name="Submit" id="submit" value="Login" src="images/submitOff.png" /></div>
</form>
checklogin.php:(如果输入了正确的用户名和密码，则转到用户名网页。如果不正确，则转到错误的用户名或密码网页
<?php
ob_start();
session_start();
$host="hostname"; // Host name
$username="username"; // Mysql username
$password="password"; // Mysql password
$db_name="dbnamey"; // Database name
$tbl_name="tablename"; // Table name
// Connect to server and select databse.
mysql_connect("$host", "$username", "$password")or die("cannot connect");
mysql_select_db("$db_name")or die("cannot select DB");
// Define $myusername and $mypassword
$myusername=$_POST['myusername'];
$mypassword=$_POST['mypassword'];
// To protect MySQL injection (more detail about MySQL injection)
$myusername = stripslashes($myusername);
$mypassword = stripslashes($mypassword);
$myusername = mysql_real_escape_string($myusername);
$mypassword = mysql_real_escape_string($mypassword);
$sql="SELECT username FROM $tbl_name WHERE username='$myusername' and password='$mypassword'";
$result=mysql_query($sql);
//returns false if no results returned
$row = mysql_fetch_row($result);
// If result matched $myusername and $mypassword, table row must be 1 row
if($row){
// Register $myusername, $mypassword and redirect to file
$_SESSION["myusername"] = $myusername;
$_SESSION["mypassword"] = $mypassword;
$myPage = $myusername.".php";
$_SESSION["myPage"] = $myPage;
header("location:".$myPage);
}
else {
header("location:index2.php");
}
ob_end_flush();
?>
username1.php:(包含文件的用户的 webapge)
<?
session_start();
if(
//!session_is_registered(myusername)
!isset($_SESSION["myusername"]) ||
$_SESSION["myPage"] != basename($_SERVER['REQUEST_URI'])
){
header("location:index.php");
}
?>
<html>
//content that consist of links to the files
<a href="ready/username1/file.png">Png 1</a>
</html>
最佳答案
这个脚本的安全性很差。您不是在散列密码。 header() 允许您向 HTTP 响应 header 添加一个元素。 脚本仍在执行。，您没有阻止访问任何内容。此外，mysql_real_escape_string() 可以完成 addslashes() 所做的一切，甚至更多。两者都做只会告诉人们你不知道他们中的任何一个是做什么的。您必须开始将参数化查询与 ADODB 或 PDO 库一起使用。
使用.htaccess 文件来防止访问
Order deny, allow
Deny from all
Allow from localhost
关于php - 拒绝对目录的 http 访问，但允许内部服务器访问，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/4869826/
28
4
0
这是我的测试用例。 http://tobeythorn.com/isi/dummy2.svg http://tobeythorn.com/isi/isitest.html 如果我自己打开 svg，内部
这是我的测试用例。 http://tobeythorn.com/isi/dummy2.svg http://tobeythorn.com/isi/isitest.html 如果我自己打开 svg，内部
我正在尝试做类似的事情: SELECT SUM( CASE WHEN ( AND EXISTS(SELECT 1
我想问如何在外部 ng-repeat 内部正确使用内部 ng-repeat: 这意味着你想使用这样的东西: {{milestone.id}} {{
我希望在 wordpress 的仪表板内编辑 css 样式并且如果可能的话不必编辑 php 文件。 我知道至少可以编辑一些属性，所以我希望我可以直接在仪表板中编辑所有属性。 更具体地说如何更改自定义类
我在安装在 windows10 上的 vmware 中的 Ubuntu 上安装了伪分布式独立 hadoop 版本。 我从网上下载了一个文件，复制到ubuntu本地目录/lab/data 我在 ubun
我有一个如下所示的 WHERE 语句: WHERE ((@Value1 IS NULL AND [value1_id] IS NULL) OR [value1_id] = ISNULL(@Va
我有一个如下所示的 WHERE 语句: WHERE ((@Value1 IS NULL AND [value1_id] IS NULL) OR [value1_id] = ISNULL(@Va
在我的一些测试帮助程序代码中，我有一个名为 FakeDbSet(Of T) 的 IDbSet(Of T) 实现，它模拟了许多 EF 行为，但没有实际的数据库。我将类声明为 Friend ，因为我想强制
我正在寻找 Cassandra/CQL 的常见 SQL 习语 INSERT INTO ... SELECT ... FROM ... 的表亲。并且一直无法找到任何以编程方式或在 CQL 中执行此类操作
如何防止内部 while 循环无限运行？问题是，如果没有外部 while 循环，内部循环将毫无问题地运行。我知道它必须对外循环执行某些操作，但我无法弄清楚是什么导致了问题。 import java.u
我正在努力学习更多有关 C++ 的知识，但在国际象棋程序中遇到了一些代码，需要帮助才能理解。我有一个 union ，例如: union b_union { Bitboard b; st
这是我项目网页中的代码片段。这里我想显示用户选择的类别，然后想显示属于该类别的主题。在那里，用户可以拥有多个类别，这没有问题。我可以在第一个 while 循环中打印所有这些类别。问题是当我尝试打印主题
我想知道如何在 swing 中显示内部框架。这意味着，当需要 JFrame 时，通常我所做的是， new MyJFrame().setVisible(true); 假设之前的表单也应该显示。当显示这个
我最近发现了一些有趣的行为，这让我想知道对象如何知道存在哪些全局变量。例如，假设我有一个文件“test.py”: globalVar = 1 toDelete = 2 class Test(objec
我知道它已经在这里得到回答: google maps drag and drop objects into google maps from outside the Map ,但这并不完全是我所需要的
我目前正在学习Javascript DOM和innerHTML，发现在理解innerHTML方面存在一些问题。 这是我的代码:http://jsfiddle.net/hphchan/bfjx1w70/
我构建了一个布局如下的库: lib/ private_class_impl.cc private_class_decl.h public_class_impl.cc include/
我有一个使用 bootstrap 3 的组合 wordpress 网站。它基本上是一个图像网格。当屏幕展开时，它会从三列变为四列。移动时它是一列。 我想出了如何调整图像的顶部和底部边距，但我希望图像的
我正在试用 MSP-EXP430G2 的教程程序，使用 Code Composer Studio 使 LED 闪烁。最初，它有一个闪烁的无限循环: for(;;) // This emp
我是一名优秀的程序员,十分优秀！