Weboldalak és adatbázisok
- A dinamikus weboldalak többsége valamilyen adatbázist használ az oldalon megjelenített adatok forrásaként.
- Példák:
o Webáruház: áruk, ügyfelek, rendelések
o Fórum: témák, hozzászólások, felhasználók
o Képgaléria: albumok, képek
Jogosultságkezelés (MySQL)
- A MySQL jogosultságkezelése fontos az adatok biztonsága szempontjából.
- A jogosultságkezelés a mysql nevű adatbázis tartalmára épül, és ezek alapján figyelembe veszi:
o honnan kapcsolódunk
o kik vagyunk
o mit tehetünk
A mysql adatbázis táblái és szerepük
o user: Ki és honnan kapcsolódhat; definiálja a globális jogokat.
o db: Melyik adatbázishoz ki férhet hozzá; definiálja az adatbázis szintű jogokat.
o host: Melyik adatbázishoz honnan lehet csatlakozni.
o tables_priv és columns_priv: tábla- és mezőszintű jogosultságok.
Hitelesítés két lépésben:
- Megállapítja, van-e jogunk csatlakozni a megadott névvel, jelszóval és helyről a kívánt adatbázishoz.
- Minden SQL parancs esetén megvizsgálja, hogy van-e jogunk az adott parancsot lefuttatni.
Adatbázisok és felhasználók — gyakorlat
- Tárhelyszolgáltatóknál gyakori, hogy csak egy adatbázis és egy hozzá tartozó felhasználó áll rendelkezésre.
- Ebben az esetben az alkalmazás az egy felhasználóval csatlakozik, és a felhasználó csak ahhoz az egy adatbázishoz kap jogosultságokat.
- Ezt a gyakorlatot más esetekben is célszerű alkalmazni.
Melyik az a harom API amellyel egy MySQL kiszolgalohoz kapcsolodhatunk,egy jellemzojet mindegyiknek irdf le!
- MySQL
Régi, elavult függvénykészlet (pl. mysql_connect()).
Nem objektumorientált, és PHP 7-től már eltávolították.
🔹 2. MySQLi (MySQL improved)
Az újabb MySQL szerverekhez készült továbbfejlesztett API.
Támogatja az objektumorientált és procedurális használatot is.
Tud prepared statementeket, ami biztonságosabbá teszi az adatkezelést.
🔹 3. PDO (PHP Data Objects)
Egy általános adatbázis-kezelő réteg, nem csak MySQL-hez használható.
Többféle adatbázishoz (pl. MySQL, PostgreSQL, SQLite stb.) is tud kapcsolódni ugyanazzal a kóddal.
Szintén támogatja a prepared statementeket és az objektumorientált megközelítést.
Beléptető-rendszer
- A felhasználó azonosítása a legtöbb esetben szükséges szolgáltatás.
- Regisztrált látogatók számára több lehetőséget szoktunk nyújtani, mint névtelen látogatóknak.
- Adminisztrációs feladatokhoz külön jogosultságokat kell biztosítani az adminok számára.
- Felhasználói jogosultságok lehetnek feladatokhoz vagy csoportokhoz kötve.
- A felhasználó azonosítása gyakran név-jelszó párossal történik; ezeket jellemzően adatbázisban tároljuk.
- Az egyszerű esethez egyetlen tábla elegendő a felhasználók adatainak tárolásához. (Pl. Login form.)
Regisztráció (áttekintés)
- A regisztrációs oldalon tudják magukat regisztrálni a felhasználók.
- Az oldalnak képesnek kell lennie visszaadni az adatokat hibák esetén hibaüzenettel, hogy a regisztráló korrigálhassa azokat (a jelszavakat általában nem adjuk vissza; újra ki kell tölteni).
- A regisztrációs forrásállománynak először ellenőriznie kell az elküldött adatokat; ha minden rendben, jelezzük a sikeres regisztrációt.
- Az ellenőrzés során figyelembe kell venni több hibaesetet, és a név foglaltságát is ellenőrizni kell.
Jelszó tárolása, titkosítása
- A felhasználói neveket és jelszavakat adatbázisban tároljuk
- A jelszavak egyszerű szövegként tárolásával szükségtelen
kockázatnak tesszük ki magunkat - Egyirányú hash algoritmus használatával egyszerűen érhetünk el
magasabb biztonságot - Lehetőségek: md5 algoritmus, SHA-1 nevű algoritmus, stb.
Md5
- Az md5 titkosítást még 1991-ben fejlesztették ki, hogy a már akkor elavult
md4-et felváltsa. - Az md5 egy 32 karakterből álló, hexadecimális karakterláncot állít elő a
titkosítani kívánt karakterláncból. Ez 1632 variációt jelent, ami első olvasásra
nem kevés. Ellenben számítógépeink már olyan számítási kapacitással bírnak,
hogy egy i5-ös processzor nagyjából 196 óra alatt képes megfejteni egy 10
karakteres karakterláncból készült md5 titkosítást. Ha ehhez hozzávesszük,
hogy egy hacker egy ilyen visszafejtéshez több gépet is kényszeríthet a
számolásra, bizony elég rosszul áll a helyzet. - A visszafejtés annyira felgyorsult, hogy erre a célra már külön adatbázisok
léteznek, melyek ezeket a jelszó és hash párokat tartalmazzák, milliárdos
tételekben. - 1996-ban már felmerültek biztonsági rések az md5 kapcsán. Ekkor már
kezdett világossá válni, hogy az ideálisabb megoldás a Sha-1, vagy a
Sha-2/512 titkosítás lenne. Az intő jelek ellenére máig igen elterjedt az md5
titkosítás
Sha-1
- Ez a titkosítási eljárás 32 karakter helyett már 40 karaktereses
hash-t állít elő, melynek visszafejtése komolyabb számolási
műveleteket igényel, de a mai gépek már ezzel is képesek felvenni
a küzdelmet. - Az md5-höz képest megbízhatóbb választás. Már Sha-1
titkosításhoz is találni visszafejtett jelszó párokat. - Sha-2/512
- PHP-ben: md5(), sha1() függvények
