Zaščita strani

Zaščita strani pomeni, da do določenih delov aplikacije lahko dostopajo samo prijavljeni uporabniki. Takšne strani navadno vsebujejo občutljive podatke ali pa omogočajo spreminjanje podatkov v bazi.

Zaščita strani ni samo skrivanje povezav v meniju. Prava zaščita mora biti izvedena v PHP kodi na začetku vsake zaščitene datoteke. Če uporabnik ni prijavljen, se izvajanje strani prekine in uporabnik se preusmeri na prijavno stran.

Vsebina strani

Osnovna pravila

Zaščitena stran mora preveriti prijavo še pred prikazom vsebine, pred odpiranjem administrativnih obrazcev in pred izvajanjem občutljivih dejanj.

• Na začetku datoteke uporabimo session_start().
• Preverimo, ali v $_SESSION obstajajo podatki o prijavi.
• Če uporabnik ni prijavljen, ga preusmerimo na 15_login.php.
• Po preusmeritvi uporabimo exit().
• Šele po uspešnem preverjanju prikažemo zaščiteno vsebino.
• Za obrazce, ki spreminjajo podatke, uporabimo CSRF zaščito.
• Za brisanje in podobna dejanja uporabimo metodo POST.
• Vhodne podatke vedno preverimo na strežniku.

<?php
session_start();

if (!isset($_SESSION['user_id'], $_SESSION['logged_in'])) {
    header('Location: 15_login.php');
    exit();
}
?>

<?php
session_start();

define('DB_SERVER', 'localhost');
define('DB_USER', 'uporabnik');
define('DB_PASS', 'skritoGeslo');
define('DB_NAME', 'knjiznica');

// Če uporabnik ni prijavljen, ga preusmerimo
if (!isset($_SESSION['user_id'], $_SESSION['logged_in'])) {
    header('Location: 15_login.php');
    exit();
}

// Šele nato odpremo povezavo z bazo
$connection = mysqli_connect(DB_SERVER, DB_USER, DB_PASS, DB_NAME);

if (!$connection) {
    die(
        'Povezava s podatkovno zbirko ni vzpostavljena: ' .
        mysqli_connect_error() .
        ' (' . mysqli_connect_errno() . ')'
    );
}

// Zaščitena vsebina strani
echo 'Dobrodošli na zaščiteni strani.';

mysqli_close($connection);
?>

Pri tem pristopu preverimo prijavo pred povezavo z bazo. To je smiselno, ker neprijavljenemu uporabniku ni treba izvajati nadaljnje kode strani.

<?php
session_start();

$streznik = 'localhost';
$baza = 'knjiznica';
$uporabnik = 'uporabnik';
$geslo = 'skritoGeslo';

// Če uporabnik ni prijavljen, ga preusmerimo
if (!isset($_SESSION['user_id'], $_SESSION['logged_in'])) {
    header('Location: 15_login.php');
    exit();
}

try {
    $pdo = new PDO("mysql:host=$streznik;dbname=$baza;charset=utf8mb4", $uporabnik, $geslo);
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    echo 'Dobrodošli na zaščiteni strani.';
}
catch (PDOException $e) {
    echo 'Zaščitene strani trenutno ni mogoče prikazati.';
}
?>

Pri PDO je zaščita strani enaka kot pri drugih pristopih: najprej preverimo sejo, nato izvedemo kodo zaščitene strani.

Dodatna zaščita dejanj na strani

Sama zaščita strani ni vedno dovolj. Če stran vsebuje obrazce za dodajanje, urejanje ali brisanje podatkov, moramo zaščititi tudi posamezna dejanja.

• obrazce zaščitimo s CSRF žetonom,
• brisanje in podobna dejanja dovolimo samo prek metode POST,
• vhodne podatke dodatno validiramo,
• za delo z bazo uporabljamo pripravljene poizvedbe,
• po izvedenem dejanju uporabnika preusmerimo nazaj na administrativno stran.

Pri brisanju zapisov je na primer smiselno preveriti metodo zahtevka:

if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    header('Location: 16_admin.php');
    exit();
}

CSRF zaščita

CSRF zaščita preprečuje, da bi bil obrazec oddan brez uporabnikove namerne potrditve iz druge strani. Uporabimo jo pri obrazcih, ki spreminjajo podatke.

Najprej ustvarimo žeton in ga shranimo v sejo:

if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

Nato ga dodamo v obrazec kot skrito polje:

<input type="hidden" name="csrf_token" value="<?php echo htmlspecialchars($_SESSION['csrf_token']); ?>">

Ob oddaji obrazca preverimo, ali je žeton pravilen:

if (
    !isset($_POST['csrf_token'], $_SESSION['csrf_token']) ||
    $_POST['csrf_token'] !== $_SESSION['csrf_token']
) {
    die('Neveljaven obrazec.');
}

Primerjava zaščite strani in zaščite dejanj

Zaščita strani in zaščita dejanj sta povezani, vendar ne pomenita iste stvari.

Aplikacija Knjige

Navodila za izdelavo zaščite strani

Priporočila

• Zaščito prijave izvedi na začetku vsake zaščitene datoteke.
• Ne zanašaj se samo na skrite povezave v navigaciji.
• Po preusmeritvi vedno uporabi exit().
• Obrazce za spremembo podatkov zaščiti s CSRF žetonom.
• Za brisanje uporabi metodo POST.
• Vse podatke iz obrazcev validiraj na strežniku.
• Za poizvedbe, ki uporabljajo uporabniški vnos, uporabi pripravljene poizvedbe.
• Pri izpisu podatkov uporabi htmlspecialchars().
• Na zaščitenih straneh omogoči jasno povezavo za odjavo.

Pogoste napake

• Zaščitena stran ne preverja podatkov v $_SESSION.
• Preverjanje prijave je izvedeno šele po prikazu dela strani.
• Po funkciji header() manjka exit().
• Zaščita je izvedena samo v meniju, ne pa v sami datoteki.
• Obrazci za spreminjanje podatkov nimajo CSRF zaščite.
• Brisanje zapisov je omogočeno z metodo GET.
• Podatki iz obrazca niso preverjeni na strežniku.
• Za delo z bazo niso uporabljene pripravljene poizvedbe.
• Zaščitene strani ne omogočajo jasne odjave.