PHP有効なパスワードの後に​​セッションを作成

Question

訪問者が有効なパスワードを入力した後にPHPセッションを作成したいので、ページを再読み込みしても訪問者への隠しリンクを表示できます。

<?php 
if(isset($_POST['submit'])) { 
    $password = crypt('sumpasswurd', password_hash('rasmuslerdorf', PASSWORD_BCRYPT)); // password 

    if (hash_equals($password, crypt($_POST['password'], $password))) { 
     echo 'VALID!'; 
     // CREATE SESSION HERE 
    } else { 
     echo 'INVALID'; 
    } 
} 

if(isset($_SESSION)) echo 'YOU ARE LOGGED IN WITH A VALID PASSWORD!'; 
?> 
<form method="POST" action=""> 
    <input type="text" name="password"> 
    <input type="submit" name="submit" value="OK"> 
</form> 

どうすればこの問題を解決できますか？私のフォームの暗号化は安全ですか？

Answer 1

マニュアルセッションはsession_start()で始まります。あなたは何らかの種類のユーザー識別ロジックによってセッションを保護する必要がありますが。たとえば、ユーザーのユーザー名があり、それをセッション変数として追加した後、現在のセッションユーザーが本当にログインしていることを確認するために、ある種のセッションIDを渡します。その後、ユーザーに関連付けられているすべてのページロードでこれらの変数をチェックする必要があります。

時：// CREATE SESSION HEREあなたはこのようなものを使用することがあります：あなたは `password_hash`と` crypt`をミックスする必要はありません

Session_start(); 
$_SESSION['username'] = $username; 
// flollowed by session id logic