[PHP] PHP/MySQL Login / Adminpanel

[sexualising]

Hallo!

Ich habe folgendes vor.
Ich will eine Seite erstellen bei der man sich einloggen kann und ich über ein Adminpanel neue Accounts hinzufügen kann. Außerdem soll man nach dem Login einige Daten aus der Datenbank auslesen können.

Ich habe eine Datenbank 'test' mit der Tabelle 'users'.
In der Tabelle hab ich folgende Elemente.
id | username | password | kontostand

Von hier habe ich das Loginscript.


Ich kann mich damit einloggen mit dem 'username' und dem 'password', aber ich schaffe es irgendwie nicht den Kontostand auszugeben.

Hoffe ihr könnt mir da etwas helfen.

[Syc]

Wie sieht dein Ansatz aus?

[sexualising]

Originally Posted by Syc

Wie sieht dein Ansatz aus?

Naja eben das von der Seite.
Kann mich per "login.php" einloggen mit den Daten aus der Datenbank und auf der "welcome.php" kann ich dann den Namen der in der Session gespeichert wird, ausgeben. Ich weiß aber nicht genau wie ich den Kontostand von dem Konto auslese.

[False]

Originally Posted by sexualising

Naja eben das von der Seite.
Kann mich per "login.php" einloggen mit den Daten aus der Datenbank und auf der "welcome.php" kann ich dann den Namen der in der Session gespeichert wird, ausgeben. Ich weiß aber nicht genau wie ich den Kontostand von dem Konto auslese.

Wie ist dein Ansatz ?
Für dich gerne etwas genauer: Wie ist dein Ansatz den Kontostand vom Konto auszulesen ?

[sexualising]

Originally Posted by .ƒaℓsє.

Wie ist dein Ansatz ?
Für dich gerne etwas genauer: Wie ist dein Ansatz den Kontostand vom Konto auszulesen ?

Also will auf der "welcome.php" den Usernamen ausgeben und den Kontostand als ganz normalen Text.
Den Namen der in der Session gespeichert ist kann ich ausgeben, aber wie mach ich das mit dem Kontostand?

[False]

Originally Posted by sexualising

Also will auf der "welcome.php" den Usernamen ausgeben und den Kontostand als ganz normalen Text.
Den Namen der in der Session gespeichert ist kann ich ausgeben, aber wie mach ich das mit dem Kontostand?

Versuch Nummer 3: Was hast du den bisher schon probiert ?
Oder hast du noch gar nichts probiert und willst nur eine Lösung !?

[iMostLiked]

Originally Posted by sexualising

Also will auf der "welcome.php" den Usernamen ausgeben und den Kontostand als ganz normalen Text.
Den Namen der in der Session gespeichert ist kann ich ausgeben, aber wie mach ich das mit dem Kontostand?

Als SQL Statement machst du folgendes:

SELECT `kontostand` FROM `users` WHERE `username` = $_SESSION['username']

Und dann ganz normal echo() nutzen, um den Wert auszugeben.

[sexualising]

Originally Posted by iMostLiked

Als SQL Statement machst du folgendes:

SELECT `kontostand` FROM `users` WHERE `username` = $_SESSION['username']

Und dann ganz normal echo() nutzen, um den Wert auszugeben.

Hab ich mir gestern auch schon überlegt, leider nicht mehr dazu gekommen.
Probier ich mal, danke.

[False]

Originally Posted by iMostLiked

Als SQL Statement machst du folgendes:

SELECT `kontostand` FROM `users` WHERE `username` = $_SESSION['username']

Und dann ganz normal echo() nutzen, um den Wert auszugeben.

Originally Posted by sexualising

Hab ich mir gestern auch schon überlegt, leider nicht mehr dazu gekommen.
Probier ich mal, danke.

Ob das so eine gute Idee ist user input direkt in eine Query zu schreiben ?
Stichwort escaping oder noch besser PDO -> Prepared statement.

[iMostLiked]

Originally Posted by .ƒaℓsє.

Ob das so eine gute Idee ist user input direkt in eine Query zu schreiben ?
Stichwort escaping oder noch besser PDO -> Prepared statement.

User Input?
Der Wert kommt aus der Session. Das wird keine Probleme verursachen, da dort kein Wert reinkommt, der vorher nicht überprüft wurde. Aber ja, im Grunde genommen hast du wohl recht. War auch eher als Denkansatz gedacht.

[False]

Originally Posted by iMostLiked

User Input?
Der Wert kommt aus der Session. Das wird keine Probleme verursachen, da dort kein Wert reinkommt, der vorher nicht überprüft wurde. Aber ja, im Grunde genommen hast du wohl recht. War auch eher als Denkansatz gedacht.

Nur weil er aus der Session kommt heißt es ja nicht gleich das es nie von einem User eingegeben wurde

[iMostLiked]

Originally Posted by .ƒaℓsє.

Nur weil er aus der Session kommt heißt es ja nicht gleich das es nie von einem User eingegeben wurde

Der Wert wird beim Login mit der Datenbank validiert, also wird da nichts drin sein, was Sicherheitsprobleme verursachen könnte, da sonst der Login fehlschlägt. Also ja, kommt zwar vom User, ist aber definitiv ungefährlich.

[Serraniel]

Kein Problem, nehme ich einfach SQL Injections im username

Man sollte eigentlich immer mit prepared Statements arbeiten finde ich, wenn es um produktive Tools geht.

[Mad0ck]

Ich kann dir später wenn ich zuhause bin evt nen bisschen weiterhelfen @TE , mehr als bei anderne wird aber auch von mir nicht kommen denke ich

Aber was anderers. Kommt später mehr dazu als nur der "Kontostand", denke da grad an DB-Normalisierung.

[majorkratze]

Auf keinen Fall solltest du so deinen Query schreiben.

Zunächst einmal solltest du deinen Username mit mysqli_real_escape_string speichern.
Also so:

PHP Code:

$username = mysqli_real_escape_string($conn, $_SESSION['username']); 


Danach solltest du einen parametrierten SQL Befehl absetzen. Alles andere ist anfällig für Injections und stellt ein erhöhtes Sicherheitsrisiko dar.

PHP Code:

$query = sprintf("SELECT `kontostand` FROM `users` WHERE `username` = '%s' ", $username);

if (!mysqli_query($conn, $query)) {
  die('Error: ' . mysqli_error($conn));
}