Как сделать чтобы после logina оставаться залогиненым на любых вкладках?

Question

[Максим js]

Ребят есть форма входа и регистрации, после входа происходит переход на другую страницу сайта приложения.
На текущей вкладке с которой был вход, пользователь остается залогиненый, но если зайти на сайт с другой вкладки, то опять кидает на страницу входа, хотя куки должны же сохраняться что пользователь залогинился...
Подскажите где ошибка?

вот что происходит после входа

ajax("core/login.php", "POST", signin, data);
  function signin(result) {
    if (result == 2) {
      alert('Заполните все поля')
    }
    else if (result == 0) {
      alert('Неправильный логин или пароль!')
    }
    else {
      console.log(result);
      result = JSON.parse(result);
      let d = new Date();
      d.setTime(d.getTime() + (24*60*60*1000));
      let expires = d.toUTCString();
      document.cookie = `email=${result.email}; expires=${expires}; path=/`;
      location.href="app.html";
    }
  }

вот выход

document.querySelector("#exit").onclick = function(){
  let c = document.cookie;
  console.log(c);
  let d = new Date();
  d.setTime(d.getTime() - (24*60*60*1000));
  let expires = d.toUTCString();
  document.cookie = `${c}; expires=${expires}; path=/`;
  location.href="index.html";
}

вот сайт bespoleznyi.site

В идеале еще и после входа отображать имя указанное при регистрации)
Подскажите пожалуйста)

Comments

[AUser0]

Кстати, к тегу <PHP> ваш вопрос каким боком относится?

[Максим js]

<?php
require_once 'config.php';

$email= trim($_POST['email']);
$pass = trim($_POST['pass']);

if ($email =='' OR $pass==''){
    echo 2;
    die;
}

// Create connection
$conn = new mysqli($servername, $username, $password, $dbname);
// Check connection
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
} 

$sql = "SELECT name, email FROM users WHERE email='".$email."' and password='".$pass."'";
$result = $conn->query($sql);

if ($result->num_rows > 0) {
    // output data of each row
    $row = $result->fetch_assoc();
    echo json_encode($row);
} else {
    echo "0";
}
$conn->close();
?>

возможно тут что-то дописать нужно было

[AUser0]

У вас ещё и защиты от SQL-иньекций нет. Дыра на дыре, совсем никакой безопасности.
Вот с таким SQL-запросом залогиниться под любым пользователем, зная только его e-mail - проще простого!

Answer 1

[AUser0]

Во-первых, хранить в куках email для подтверждения авторизованности пользователя - глупо. Обычно там хранят какой-нибудь уникальный MD5, который ещё и в базе залогиненных пользователей хранится. А так можно взять известный email известного пользователя, засунуть его в cookie - и вуаля, я авторизован под этим пользователем.

Во-вторых, cookie можно выставлять с самого сервера во время AJAX-запроса, и это будет правильнее. Нельзя такой функционал делегировать JS, который виден и выполняется на стороне пользователя.

P.S. В области безопасности игнорирование устоявшихся стандартов и изобретение своих хитрозакрученных "велосипедов" может очень больно спустить на землю.

Comments

[Karpion]

Нельзя такой функционал делегировать JS, который виден и выполняется на стороне пользователя.

Логику этой сентенции я не понял. Чем JS хуже встроенных механизмов браузера и т.б. AJAX?

[Дмитрий Беляев]

Karpion, js не может взаимодействовать с http-only куками, которые (наряду с флагом secure) должны быть единственным хранилищем авторизационных данных

[AUser0]

Karpion, тем, что JavaScript выполняется на стороне клиента, и сервер не может контролировать его работу. Такая работа должна делаться на стороне сервера, иначе это не login/авторизация.

Дмитрий Беляев, о, кстати да, про это я забыл. Действительно, куки авторизации вообще не должны быть доступны из JavaScript-а, поскольку не его это забота! Ну, https - это уже определяется наличием https на сервере...

Answer 2

[Александр]

Читать до посинения

Comments

[Максим js]

ДА я бы с удовольствием, только время на выполнение тестового очень мало)

[Александр]

Максим js, В любом случае, писать авторизацию на PHP надо, куки, сессии и прочее.

[Иван Шумов]

Максим js, если не можешь сделать сам то, значит, не прошёл. И нечего делать тебе там пока что