Sikkert loginsystem

Jeg ligger hos Cliche (IIS v5) hvis det skulle have noget at sige.

110% ? Drop webhotel og få dig en dedikeret server.

Nu er der også langt fra 5kr/md til 1.500kr/md som en dedikeret server cirka vil koste =)

Ok, men så snakker vi 98%, 99%, 99.3% ... eller sådan noget.

Nå, ja, til almindelig orientering: da Cliche startede for
1 års tid siden, var deres generelle sikkerhedsniveau på
ca 2% - det krævede morderligt lidt at læse alle andres
filer, med password og mysql-databaser, osv.

De har retfærdigvis rettet meget op på det, men at jeg ikke
umiddelbart kan bryde deres system, er ikke nogen garanti
for sikkerhed.

Skal det være en IIS, og skal det både være sikkert og
væsentligt billigere end 1500 kr/måned, vil jeg umiddelbart
anbefale et firma, der har flere år på bagen.

Hvis vi lader være med at sætte en procentsats på sikkerheden - hvad er der så af gyldne regeler og små scriptstumper som man skal huske i et loginscript?

Det kommer jo an på hvad du skal gemme. Er det nationalbankens
sikkerhedskoder, der kan få Danmark til at gå fallit, hvis det falde
i de forkerte hæner. Eller er det lidt småoplysninger om en Counterstrike klan?

Eller noget midt i mellem.... Det er bestemt ikke irrelevant at
diskutere procentsatser (eller noget der ligner)

Du skal validerer dit input. Før du f.eks. sætter et bruger id eller password ind i en SQL sætning, skal du være sikker på, at de ikke indeholder kode.

Check f.eks. at brugernavn KUN indeholder a-z,0-9 osv.

Sørg for at have login check på ALLE sider i din admin del. Det er nemt at glemme...og meget dumt ;-)

Og hvis din udbyder vil, så kan du få dem til at sætte NTFS rettigheder på dit admin bibliotek.

Er den "rigtige" måde at lave det på ved at oprette en session som indeholder brugernavn ex? Og så tjekke om denne findes?

Tiden blir' gammel. Lukker og slukker :)