“动力学”会议

Question

我们有一个由 php 和 ajax 处理的登录表单。 ajax 向 php 页面发送一个请求，其中包含要登录的用户名和密码。它会收到响应，如果正确并且工作信息正确，则会将其记录到：

接受请求的 php 页面具有以下代码：

        echo (checkLogin($_POST['user'], $_POST['pass']) ? 'true' : 'false');
        if(checkLogin($_POST['user'], $_POST['pass']) == true)
        logIn($_POST['user'], $_POST['pass']);

中使用的函数该声明：

function logIn($user, $pass)
    {
            $_SESSION['sid'] = md5(md5($user) . md5($pass));
            $_SESSION['username'] = $user;
            $_SESSION['password'] = $pass;
    }

    function checkLogin($user, $pass)
    {
        $user = strtolower($user);
        $pass = strtolower($pass);

        $res = mysql_query("SELECT * FROM users WHERE username='".$user."'");
        if(mysql_num_rows($res) == 1)
        {
            $data = mysql_fetch_assoc($res);
            if($data['pass'] == aCrypt($pass))
            {
                return true;
            }
            else
            {
                return false;
            }
        }
        else
        {
            return false;           
        }
    }

现在，会话似乎已启动，并且只能在用户重新加载页面后才能看到。我们需要它在页面上启动会话...我们需要使用 ajax 刷新整个页面吗？我真的不知道从这里该去哪里。

Answer 1

您可能想使用 Post-Redirect-Get 模式；用户成功通过身份验证后，使用重定向将其发送到新页面。

正如我上面提到的，请考虑修复代码中的 SQL 注入和会话固定漏洞。