phpBuddy

Vorwort

Relativ häufig wird nach Möglichkeiten gefragt, wie man Uploads, einzelne Seiten oder ganze Bereiche einer Webseite mit einem Passwortschutz versehen kann. Dabei können die Anforderungen an so einen Passwortschutz ganz unterschiedlich ausfallen. In manchen Fällen reicht es aus, das nur ein Benutzer mit einem Passwort Zugriff erhält, während es in anderen Fällen nötig ist mehrere Benutzer, unabhängig voneinander, zu verwalten und Zugriff zu gestatten. Um verschiedene Anforderungen und Bereiche abzudecken, möchte ich Euch mit diesem Tutorial 3 Techniken etwas näher bringen, die Ihr als Basis für ein eigenes Login System verwenden könnt. Hauptbestandteil dieser Techniken ist das Session Management System von PHP. Aufgeteilt ist dieses Tutorial in:

1. Einfach - Ein simples Login System mit 1 Benutzer und 1 Passwort. Ausreichend um Uploads oder einzelne Seiten vor Zugriffe Unbefugter zu schützen. Kommt mit wenigen Zeilen Code und ohne Datenbank aus.
2. Fortgeschritten - Mit diesem System kann man beliebig viele Benutzer verwalten, da wir mit einer MySQL Datenbank arbeiten. Neben dem einfachen Login setzen wir auch Cookies ein, damit sich die Seite an den Benutzer erinnert.
3. Profi - Auch hier arbeiten wir mit einer MySQL Datenbank, wodurch beliebig viele Benutzer verwaltet werden können. Schwerpunkt bei diesem System liegt aber ganz klar auf dem Punkt Sicherheit. Es werden Schutzmaßnahmen gegen Session Fixation und Session Hijacking getroffen; der Benutzer wird bei jedem Seitenaufruf neu validiert; Hackversuche (Brute Force) werden erkannt und Benutzerkonten automatisch deaktiviert, bevor sie geknackt wurden; Passwörter werden durch die Zugabe von "Salts" sicherer gemacht; Benutzer werden bei längerer Inaktivität automatisch ausgeloggt, damit kein Unbefugter die Session übernehmen (hijacken) kann.

Voraussetzungen

• PHP 5.2.x oder höher
• MySQL 5.x oder höher
• PHP/MySQL Kenntnisse je nach Login System von Grundlagenwissen bis semi-professionell
• ... und natürlich Lernbereitschaft

Da der Quelltext weitestgehend kommentiert ist und entsprechende PHP Kenntnisse vorausgesetzt werden, werde ich die Erklärungen zu den Listings kürzer halten und nur wichtige Stellen etwas näher erläutern. Übrigens, für alle 3 Varianten lauten die Demo Zugangsdaten: Otto // geheim