Как реализовать админку?

Question

[Ilya Bobkov]

Всем привет! Добрался до реализации админ-панели в своём проекте. Решил делать через общую авторизацию пользователей: т.е. вводится пароль и логин и если эти данные по базе совпадают с данными входа администратора должна появиться админ-панель:

как-то так:
$.ajax
({
url: "server.php",
data: {func:"Auth", login: "логин", password: "пароль"},
success: function( data )
{
// здесь ответ сервера
// и вывод админ-панели
}
});

Вопрос, что должен вернуть сервер для открытия админ-панели код, некую ссылку на страницу панели или что-то другое? Как делали вы?

Answer 1

[Сергей Протько]

если эти данные по базе совпадают

Надеюсь вы используете на сервере password api?

data: {func:"Auth", login: "логин", password: "пароль"},

что это за RPC? Почему бы не сделать так:

$.ajax
({
url: "/login",
type: 'POST'
data: {login: "логин", password: "пароль"},	
});

И сделайте одну точку входа, а что выполнять решайте через маршрутизатор, например FastRoute.

что должен вернуть сервер

либо статус код 401 если все плохо, либо 201 если все хорошо (мы же создали авторизационную сессию) либо 200. Так же мы должны как-то узнавать чувака. А это значит что нам надо либо создать сессию на сервере и привязать через куку (пых это делает автоматом когда вы работаете с сессиями) либо вручную задать куку с каким-то токеном. Тут все сильно зависит от того как вы админку собрались делать (меня сильно смущает авторизация через AJAX, хотя я уверен что админка у вас не является отдельным одностраничным приложением ). Например у меня админки на ангуляре и я использую JSON Web Tokens.

Comments

[Ilya Bobkov]

теперь вопрос по защите: получая код 201 мы грузим админ-панель (или переадресовываем), но что мешает взломщику сделать переадресацию на прямую, ведь переадресация или подгрузка у нас открыта на клиенте. Что думаете по этому поводу?

[Сергей Протько]

Илья Бобков: я потому и говорил про сессии куки и т.д. читать про аутентификацию.

[Ilya Bobkov]

Сергей Протько: ok

[Сергей Протько]

Илья Бобков: не рассматривали вариант не писать очередной велосипед а воспользоваться готовыми решениями?

[Ilya Bobkov]

Сергей Протько: пока пишу всё сам, но за совет спасибо