Всем привет.
Как мне обезопасить админку?
раньше не делал серьёзных проектов, поэтому не знаю.
Фронт делаю на react, redux, react-router.
Сервер на php, для запросов использую pdo.
Сейчас вход в админку реализован так:
В адресной строке добавляю в путь /admin,
Там форма входа, ...
проверяю статус пользователя, если равен root или admin то изменяю состояние редукс, меняю isAdmin на true.
И всё если isAdmin равен true имею доступ к админку.
Мне кажется так делать не стоит, но как правильно не знаю
ravshan selimov, т.е. вы на клиенте проверяете авторизацию?
Вообще клиент не должен иметь никакого отношения к безопасности, всегда можно обойти ваше приложние, главное - сервер.
Хранить состояние пользователя в сессии, а не в редуксе, хотя дублировать в рдукс можно. При каждом запросе проверять сессию на текущее состояние залогиненного юзера, проверять имеет ли он право обращаться к нужному контроллеру/скрипту. Для более замороченного входа можно еще какой-то ключ прикрепить к админке, например /admin?key=666 и проверять наличие этого ключа, иначе посылать на 404.
вы хотите сказать проверять сессию при выполнение какого либо действия php скрипта с бд? например:
при создании нового аккаунта администратора из админки
Для более замороченного входа можно еще какой-то ключ прикрепить к админке, например /admin?key=666 и проверять наличие этого ключа, иначе посылать на 404.
Такой костыль в безопасности называется "security through obscurity"
