SELECT id,nom FROM joueurs WHERE email='%s' AND motdepasse=PASSWORD('%s')

<form action="identification.php" method="post">

    E-mail<input name="email" type="text" />

    Mot de passe<input name="motdepasse" type="password" />

   <input type="submit" />

</form>

<?php 

session_start(); //on va utiliser une session dans notre script

if( isset($_SESSION['id_joueur']) ){

    $sql=sprintf("SELECT id,nom FROM joueurs WHERE id='%s' ",$_SESSION['id_joueur']);

 

    //on se connecte a la base de donnée (oui, il faut le refaire a chaque nouvelle page)

    $db = mysql_connect ("mon_serveur_sql", "mon_login", "mon_mot_de_passe");

    $req=mysql_query($sql,$db);



    //maintenant, on va parcourir la liste des résultats

    while( $res=mysql_fetch_assoc($req) ){

        $cpt++;

    }

    echo "Joueur : ".$res['nom']." déjà connecté<br/>";

}

else{

    $email=mysql_real_escape_string($_POST['email']);

    $motdepasse=mysql_real_escape_string($_POST['motdepasse']);

 

    $sql=sprintf("SELECT id,nom FROM joueurs WHERE email='%s' AND motdepasse=PASSWORD('%s')",$email,$motdepasse);

 

    //on se connecte a la base de donnée (oui, il faut le refaire a chaque nouvelle page)

    $db = mysql_connect ("mon_serveur_sql", "mon_login", "mon_mot_de_passe");

    $req=mysql_query($sql,$db);

 

    $cpt=0;

    //maintenant, on va parcourir la liste des résultats

    while( $res=mysql_fetch_assoc($db) ){

        $cpt++;

    }

 

    //si il y a un résultat, l'utilisateur exsite et a le bon mot de passe 

    if($cpt>0){

        echo "Bienvenue ".$res['nom']; //je récupère la valeur de la colonne "nom" indiqué dans le SELECT

        $_SESSION['id_joueur']=$res['id']; //je garde en SESSION l'identifiant unique du joueur

    }

    else{

        echo"adresse e-mail ou mot de passe erroné";

    }

}

?>

<?php 

     session_destroy();

?>

if($cpt>0){

       echo "Joueur : ".$res['nom']." déjà connecté";

    }

    else{

        echo"session refusée...";

    }

(22-12-2010, 02:53 PM)Globe a écrit : Je ne connais la fonction sprintf et je trouve que le manuel est pas hyper clair, ça sert à éviter que la chaîne soit modifiée par des paramètres extérieurs ?

(sprintf('%s je m\'appelle %s et j\'ai %d ans', 'bonjour', $prenom, $age))

 == 'bonjour'.je m\'appelle '.$prenom.' et j\'ai '.$age.' ans'; 

if (mysql_num_rows($req)>0) {

    $res=mysql_fetch_assoc($req);

    ...

}

    $cpt=0;

    //maintenant, on va parcourir la liste des résultats

    while( $res=mysql_fetch_assoc($db) ){

        $cpt++;

    }

 

    //si il y a un résultat, l'utilisateur exsite et a le bon mot de passe 

    if($cpt>0){

$sql=sprintf("SELECT id,nom FROM joueurs WHERE id='%s' ",$_SESSION['id_joueur']);

$sql=sprintf("SELECT id,nom FROM joueurs WHERE id=%i ",intval($_SESSION['id_joueur']));

(22-12-2010, 03:28 PM)Ter Rowan a écrit : je ne comprends pas à quoi sert l'appel en bdd lorsque la session existe :
est pour capter des informations pour la suite ou pour des raisons de sécurité ?

(22-12-2010, 03:28 PM)Ter Rowan a écrit : parce que je ne vois pas de sécurité dans cette première partie

si je chope la session (par un hasard heureux d'un autre), j'envoie cet id (de session), le système tel que je le lis va me reconnaitre comme étant le joueur de la session "volée"

ou bien je suis à côté de la plaque

(22-12-2010, 03:36 PM)Myrina a écrit : Il y a quand même des choses qui ne vont pas! :nonon:

En utilisant l'extension mysql, tu aurais pu écrire

if (mysql_num_rows($req)>0) {

    $res=mysql_fetch_assoc($req);

    ...

}

au lieu de:

    $cpt=0;

    //maintenant, on va parcourir la liste des résultats

    while( $res=mysql_fetch_assoc($db) ){

        $cpt++;

    }

 

    //si il y a un résultat, l'utilisateur exsite et a le bon mot de passe 

    if($cpt>0){

(22-12-2010, 03:36 PM)Myrina a écrit : de plus, le paramètre de mysql_fetch_assoc() est $req et non $db.

(22-12-2010, 03:36 PM)Myrina a écrit : par ailleurs, ton id en table est un entier, pas une chaine de caractères:

$sql=sprintf("SELECT id,nom FROM joueurs WHERE id='%s' ",$_SESSION['id_joueur']);

devrait être

$sql=sprintf("SELECT id,nom FROM joueurs WHERE id=%i ",intval($_SESSION['id_joueur']));

(22-12-2010, 03:36 PM)Myrina a écrit : Maintenant, il reste un problème de logique de conception sans parler de la gestion d'erreurs.

Code :

si joueur deja identifié en session
alors
- recherche des informations le concernant
- si les informations existe
- alors "bonjour joueur"
- sinon erreur!!
sinon
- si le formulaire est correctement rempli
---- vérification des informations de connexion (authentification)
---- si ok
-------- sauvegarde en session de l'identifiant du joueur
---- sinon
-------- erreur d'authentification
- sinon erreur de saisie du formulaire

Citation :si joueur deja identifié en session
alors
- recherche des informations le concernant
- si les informations existe
- alors "bonjour joueur"
- sinon erreur!! Quel intérêt puisque l'identifiant stocké en session est valide (testé lors du premier passage), et que j'estime qu'il ne sera pas supprimé entre la connexion et le test ici
sinon
- si le formulaire est correctement rempli
---- vérification des informations de connexion (authentification)
---- si ok
-------- sauvegarde en session de l'identifiant du joueur
---- sinon
-------- erreur d'authentification
- sinon erreur de saisie du formulaire