SICUREZZA

[djjunior]

Cari amici stò testando un db sul server ed ho un problema!
Se un utente si logga (esempio suo id 10)
quindi la pagina sarà miapagina.asp?ID=10&Nome=Alfonso e lo stesso utente modifica invece di 10 immette per esempio 30 visiona i dati dell'utente con id 30 come posso ovviare al problema?
Grazie
Gino

[Roby_72]

Facendolo loggare attivando una session e non passando i suoi parametri di log in querystring.

Roby

[djjunior]

Puoi darmi qualche esempio?
Grazie
Gino

[Roby_72]

http://freeasp.html.it/articoli/view...olo.asp?id=150
http://freeasp.html.it/articoli/view...olo.asp?id=148

Roby

[djjunior]

Scusami ROBY, ho visionato il tutto e dovrei cambiare totalmente l'impostazione del db nonchè io passo dati attraverso il querystring.
Non possiamo, utilizzando un include, far verificare che che l'id visionato corrisponde a qualcosa di più semplice? Esempio, l'IP oppure legarla alla password? che se io la modifico mi viene una pagina di errore?
Aiutami
Gino

[Roby_72]

E' ovvio che se hai fatto tutto con querystring devi modificare l'impostazione.
Se poi vuoi una finta area protetta puoi allora proseguire con quello che hai iniziato.
Le modifiche non credo siano molte. Forse il db non lo devi proprio toccare se hai previsto un campo per la user e uno per la password.
Devi modificare la pagina che effettua il controllo del login e la prima riga di tutte le pagine protette.

Roby

[djjunior]

Grazie per il tuo aiuto
ma non ho capito:

Devi modificare la pagina che effettua il controllo del login e la prima riga di tutte le pagine protette.

Soprattutto LA PRIMA RIGA DI TUTTE LE PAGINE.
Se passo tutto tramite querytstring, mi dici che basta un include?
Grazie 1000
gINO

[Roby_72]

No. La querystring te la devi scordare.
In tutte le pagine protette devi fare una cosa del genere:

<%
if not session("loggato") then response.redirect("logout.asp")
%>

Ed ovviamente quando hai verificato il login avrai fatto:

session("loggato") = true

se user e password corrispondono.

Roby

[djjunior]

Quindi così potrebbe andare?

<%
Email = Replace(Request.Form("Email"), "'", "''")
password = Replace(Request.Form("password"), "'", "''")

sql = "SELECT Email, password, id, abstract FROM autori WHERE Email = '" & Email & "' AND password = '" & password & "'"
Set rs = Server.CreateObject("ADODB.Recordset")
rs.Open sql, Conn, 3, 3

if rs.eof then
autenticato2 = false
else
autenticato2 = true
end if 

if autenticato2 = true then
Session("Autenticato2") = "OK"

Response.Redirect ("intro.asp?ID=" & rs.fields("id") &"&abstract=" & rs.fields("abstract") &"")
else
Response.Redirect("../relogin.asp")
end if

rs.Close
conn.Close
Set rs = Nothing
Set conn = Nothing
%>

La connesione al db avviene tramite file di inclusione
Scusami se ti stò pressando ma ho urgente bisogno di risolvere questo problema.
Grazie
Gino

[Roby_72]

Response.Redirect ("intro.asp")

La sessione rimane attiva di default 10 minuti (se l'utente non fa nulla.)
Se nelle pagine riservate ti servono le informazioni dell'utente che si è loggato, invece di attivare una sessione generica, attiva questa:

Session("Autenticato2") = rs("id")

In questo modo potrai accedere in ogni momento ai dati dell'utente.

Roby