login script problemer

Skal det ikke være:
if ($username == $goduser){
return 9999; // it's god, he has a really high userlevel.
}
else{
$query = "select userlevel from $tablename WHERE username = $username";
if ($result = mysql_query($query)) {
$row = mysql_fetch_array($result);
    $level = $row['userlevel'];
}
else
    $level = 0;
return $level;
}
}

Hvordan "virker ikke"?

Du er godt klar over, at det er relativt nemt at ændre i cookie indhold. Ifølge din kode skal jeg bare gætte administrator-navnet så har jeg adgang til alt.

UPS SÅDAN HER:

if ($username == $goduser){
return 9999; // it's god, he has a really high userlevel.
}
else{
$query = "select userlevel from $tablename WHERE username = $username";
if ($result = mysql_query($query)) {
$row = mysql_fetch_array($result);
    $level = $row['userlevel'];
}
else{
    $level = 0;
return $level;
}
}

$username bør escapes (addslashes) ellers kan man via den ændre din sql til at give det man ønsker.

ja problemet er at den ikke gider vise det som en admin skulle se, hvis den er sat til require_userlevel(1);

det virker som om den overhovedet ikke henter værdigen i databasen

værdien*

Se evt hvordan det kan gå når man stoler på cookies: http://www.eksperten.dk/spm/609087

Jeg skal nok stoppe - hvis du ikke er interesseret i at få hjælp med sikkerheden. Men det er lidt nytteløst at tjekke om $level er et eller andet, hvis man kan få dit script til at "skifte bruger" (og der med til "god") uden at kende password eller lign.

ja okay tak for det... men nu var det lige den her del jeg ville have til at virke nu :)

Jeg synes du skal lytte til dennismp, og omkode allerede nu til at bruge sessions. Når brugeren logger ind, så gemmer du samtidig hans level i en session. Så slipper du for at slå op i databasen hele tiden..

har du kontrolleret at $username indholder hvad du tror den gør?

hmm... jeg tror jeg laver det hele om til sesssions...

men hvordan fungere de... har rigtig aldrig brugt dem så meget.

Her er deb fulde kode_________________________________________-
action = $_GET['action'];
$un = $_POST['un'];
$pw = $_POST['pw'];

switch ($action){
    case "login":
        login($un, $pw);
        break;
    case "logout":
        logout();
        header("Location: $redirect");
        break;
}


function logout() {

global $redirect;
setcookie("loggedin", $un, time()+3600); // 1 time
header("Location: index.php");
}


function loggedin() {

if (isset($_COOKIE['loggedin']))
    return true;
else
    return false;
}
function require_login() {
if (loggedin())
    return;
else
    include("login.html");
    die;

}

function login($un, $pw) {
    global $redirect;


if (auth($un,$pw)) {

setcookie("loggedin", $un, time()+3600); // logged in for an hour
header("Location: $redirect");
}
else
    echo "We're sorry, that username and/or password is incorrect";
    echo "Please<a href=$redirect>Go Back</a> and try again.";
}

function auth($un, $pw) {

global $tablename;
global $multiple_users;
global $godpw;
global $goduser;

if ($un == $goduser && $pw == $godpw) {
    return true;
}
else if($multiple_users)
{

    $query = "select password from $tablename WHERE username = '$un'";
    $result = mysql_query($query);
    $row = mysql_fetch_array($result);
    if ($row['password'] == $pw)
        return true;
    else
        return false;
}
else
    return false;

}


function get_username() {

return $_COOKIE['loggedin'];
}


function get_level(){

$username = $_COOKIE['loggedin'];
global $tablename;
global $goduser;
if ($username == $goduser)
    return 9999;


$query = "select userlevel from $tablename WHERE username = $username";
if ($result = mysql_query($query)) {
$row = mysql_fetch_array($result);
    $level = $row['userlevel'];
}
else
    $level = 0;
return $level;
}



function require_userlevel($level) {
$ul = get_level();
if ($ul >= $level) {

    return;
}
else {
//    echo"<script language=javascript>alert('Sorry, you do not have access to this');</script>";
//  include("login.html");
    die;

}
}

noget i kan hjælpe med? at lave mine cookies om til sessions

Har du læst det indlæg i den anden tråd jeg linkede til? Der skrev jeg en ultrakort intro til sessions (når man kommer fra cookies)

ja det har jeg kigget på... men jeg har problemer med at lave den her om: setcookie("loggedin", $un, time()+3600);