Защита админ-панели на сайте php?

Question

[twe1n]

Друзья, посоветуйте способы защиты админки. Буду рад если скинете какие-то актуальные гайды.
В БД в таблице users есть столбец status хочу что бы доступ к разделу админов имели только юзеры с статусом 3,4,5 но не совсем понимаю как это реализовать.

Comments

[ThunderCat]

читайте про ACL и RBAC. Думаю первого вам будет достаточно на начальном этапе.

Answer 1

[Дмитрий Денисов]

Если взять простой вариант решения этого - тебе нужно написать запрос, где проверяешь статус пользователя.

Распишу простенький пример, для простоты не берем в рассчет защиту от иньекций и т.п.
К примеру, тебе нужно открыть доступ пользователям только имеющим status = 4, тогда это может выглядеть наподобие этого.

К примеру, пользователь авторизируется через форму логина и отправляет свой логин и пароль. Ты их проверяешь и тянешь данные из базы. На живом примере еще нужно написать проверку на то, верные ли вообще данные введены и существует ли пользователь такой. Но тем не менее.

$r = mysqli_query($mysqli, "
  SELECT * FROM `users` 
  WHERE `email` = '$email' 
  AND `password` = '$password'
");
$f = mysqli_fetch_array($r);

if($f['status'] == '4') { // Если в поле status для текущего юзера у нас значение 4
  echo 'Разрешаем доступ, выполняем дальнешие действия по авторизации';
} else {
  echo 'Пользователю с вашим статусом доступ запрещен';
}

Comments

[Дмитрий]

И сайт "ломается" на раз-два)))

[Дмитрий Денисов]

slo_nik, Это простой пример, чтобы человек понимал механику авторизации и проверки группы доступа )) А уже освоив это, я думаю дойдет и до вопросов защиты, что закономерно :)

[ThunderCat]

Дмитрий Денисов, чем приводить в пример плохой код лучше не приводить никакого, просто дать направление поиска, тогда есть вероятность что в итоге человек не сделает плохо сразу, или хотя бы заглянет в адекватные практики. И уж такая "механика авторизации" точно обеспечит вам вылет с любого собеседования на джуна. Просто объяснить принцип - гораздо лучше(дает человеку обдумать детали и набраться опыта) и проще.

[alex-1917]

ThunderCat, причем тут вообще джуны и собеседования?))) больная тема??)))
например, если сделать запрос на Гит crud php, то вылезет 4,606 репов.
Если выкинуть круды на лаве и прочих, то останется примерно 400.
Честно прошерстил намедни эти 400, из них всего лишь 40 используют PDO, из этих 40 всего лишь 8 используют плейсхолдеры в запросах, зачем остальные 32 вообще используют PDO, остается загадкой.
При этом у половины из 400 по 100-200 реп за спиной, не сказать, что начинашки..
Вывод - опыт !== правильно

[ThunderCat]

alex-1917, ну, да, больная тема, часто приходилось набирать работников, за такое, если дополнительно не объясняют что еще перед этим куча санитайз кода, еще и без плейсхолдеров, то нафиг сразу. Ибо потом разгребать себе дороже.

[Дмитрий Денисов]

ThunderCat, Спасибо, в ваших собеседованиях я не нуждаюсь. А вот от вас, кроме как НЕконструктивной критики и жалоб на тему неудачных собеседований ничего кроме оффтопа ТС не увидел.
И да, как уже написал, человека если интересует он вопросами безопасности загуглит как заняться, а я ему показал "на пальцах", как это делается, вот и все, тем более, что я в посте своем указал, что механизмы защиты я не использовал, чтобы не усложнять человеку понимание кода по конкретно поставленной задаче.

[ThunderCat]

Дмитрий Денисов, я и не собирался вас собеседовать, и жаловался я вроде не вам, а совершенно другому человеку с совершенно другим вопросом. Критика моя очень проста и к конкретно вашему коду как таковому отношения не имеет, вам указали что код дыряв, вы же считаете что дать плохой код лучше чем никакой, я с вами не согласился, в частности указав что с таким подходом к задаче на собеседованиях будут проблемы, не лично у вас, а у любого кто так подходит к задаче. Все. Где тут критика?

А вот от вас, ... ничего кроме оффтопа ТС не увидел

Я дал комментарий(для такой задачи даже решение писать стыдно), который полностью в 2 словах покрывает задачи ТС, если у него будет 10 минут времени и доступ в гугл.

Answer 2

[Дмитрий]

Добрый день.

В БД в таблице users есть столбец status хочу что бы доступ к разделу админов имели только юзеры с статусом 3,4,5 но не совсем понимаю как это реализовать.

Если не понимаете, то не надо изобретать велосипед.
Возьмите какой-либо framework, там всё это реализовано. Изучите как это работает, а уж после этого приступайте к реализации собственного решения.
Начните с framework-ов YII2 или Laravel. Так же параллельно можете изучать этот материал.