Changes between Version 8 and Version 9 of ImportantCase0

Timestamp:

02/24/25 15:56:13 (6 weeks ago)

Author:

222039

Comment:

--

ImportantCase0

@@ -111 +111 @@
 session_regenerate_id(true);
 
-// Rate limiting check
+// Rate limiting check (session-based)
 if (isset($_SESSION['login_attempts']) && $_SESSION['login_attempts'] > 5) {
     $timeout = 300; // 5 minutes timeout
@@ -131 +131 @@
 
 try {
+    $conn->beginTransaction();
+
     $username = trim(htmlspecialchars($_POST['username']));
     
-    $sql = "SELECT * FROM Users WHERE username = :username";
+    // Using stored procedure instead of direct query
+    $sql = "SELECT * FROM validate_login(:username)";
     $stmt = $conn->prepare($sql);
     $stmt->bindParam(':username', $username, PDO::PARAM_STR);
@@ -141 +144 @@
         $_SESSION['login_attempts'] = isset($_SESSION['login_attempts']) ? $_SESSION['login_attempts'] + 1 : 1;
         $_SESSION['last_attempt'] = time();
+
+        $conn->rollBack();
         header("Location: /Sign&Log.php?error=INVALID_CREDENTIALS");
         exit();
@@ -150 +155 @@
         $_SESSION['login_attempts'] = isset($_SESSION['login_attempts']) ? $_SESSION['login_attempts'] + 1 : 1;
         $_SESSION['last_attempt'] = time();
+
+        $conn->rollBack();
         header("Location: /Sign&Log.php?error=INVALID_CREDENTIALS");
         exit();
     }
 
+    $conn->commit();
+
+    // Session setup
     $_SESSION['username'] = $username;
     $_SESSION['userid'] = $res['userid'];
@@ -170 +180 @@
     
 } catch (PDOException $e) {
+    $conn->rollBack();
     error_log("Login error: " . $e->getMessage());
     header("Location: /Sign&Log.php?error=SERVER_ERROR");
     exit();
 }
+?>
 }}}
+* '''''Се користи POST метод за испраќање на корисничкото име и лозинка. Кодот вклучува ограничување на обиди за логирање (rate limiting) за да се спречи brute force напад. Ако корисникот има повеќе од 5 неуспешни обиди, се блокира за 5 минути.'''''
+* Валидација на влез: Проверува дали корисничкото име и лозинката се пополнети.
+* Проверка на лозинката: Споредува ја внесената лозинка со хашираната лозинка во базата со password_verify.
+* Сесија: Ако логирањето е успешно, се поставуваат сесиски променливи (корисничко име, ID, улога, активност, IP адреса).
+* Пренасочување: Корисникот се пренасочува според неговата улога (Admin или обичен корисник).
+* ''''' Ако има грешка (на пр., погрешни credentials или серверска грешка), корисникот се враќа на страницата за логирање со соодветна порака за грешка. '''''
 
 === Чекор 3 ===