Народ, я тут скрипт FAQ дописываю, нужна критика!

А конкретно меня интересуют ваши мысли по поводу администрилки (защита, возможности и т.д.)
Администрилка находится на:
http://teleport.volsu.ru/cgi-bin/faq/admin.cgi
Сам скрипт FAQ я набросал на:
http://teleport.volsu.ru/cgi-bin/faq/faq.cgi
Но его критиковать не стоит, я его написал за 5 минут и его цель- просто отправлять вопросы на проверку администратору.
С уважением, Сергей ( kwazar@volsu.ru )

[APL]

ИМХО некорректно передавать в каждой форме пароль и логин. Человек может посмотреть кэш и получить их.

см. как сделано у меня: http://www.fotocenter.spb.ru/

login: apl
password: 22


P.S.: Кстати, попробуй на своем движке текстовую ссылку в администрировании поставить....

А можно поподробнее алгоритм (как я понял у вас используется перекодировка пароля). И как с программной точки зрения это корректно выполнить (я про перекодировку).
Заранее спасибо.
С уважением, Сергей

Что касается текстовой ссылки, то пароль и логин, я данные (включая пароль) передаю методом post.А метод get у меня отсекается (Что ни делай, все равно выйдешь на форму ввода пароля).

[APL]

Насчет форм - см. выше о текстовых ссылках (как ты их в таком случае будеш реализовывать)

Алгоритм.

Человек заходин на сайт.

1. Проверяется есть ли у него в куках идентификатор. (если есть - проверяется есть ли он в базе и не наступил ли таймаут неактивности) (в базе хранится id, creation time, last access time, ip), если куки пусты (или отключены) - проверяется не передан ли идентификатор как параметр.
2. Проверяется корректность ip.

3.1 Если все условия выполнены - ок.
3.2 Нет - выделяется новый уникальный id и соотв. записываются данные (см. выше в базу) и пишутся куки в заголовок (без указания срока действия - т.е. они анулируются при закрытии окна броузера)

Логин и пароль хранятся в отдельной базе (login, password, current user id, creation time, last access time)

Ну вообщем понял идею?

Могу кинуть сорцы. (Но я там еще одну фишку придумал в авторизации (но еще в голове не скомпилилась пока

[APL]

Никаких перекодировок.
Кстати и на серваке (MySQL базы) он хранится не в зашифрованном виде для того чтобы чел мог получить его по почте

[APL]

Что касается текстовой ссылки, то пароль и логин, я данные (включая пароль) передаю методом post.А метод get у меня отсекается (Что ни делай, все равно выйдешь на форму ввода пароля).

Человек может посмотреть кэш на той машине, где работал админ и получить и логин и пароль

Так каой же выход?

[APL]

в моем случае пароль не получить при всем желании. разве что сломав mysql или получить ftp\'шный пароль/логин...

А если надо использовать текстовую базу?
Можно конечно после ввода пароля запоминать ip до выхода, но это значит, что одновремено могут сидеть и админ и хакер (ip подменить в http заголовке запроса подменить, как нефиг делать).

[APL]

А если надо использовать текстовую базу?

То же самое только другой способ хранения данных... разве это есть проблема?

Можно конечно после ввода пароля запоминать ip до выхода, но это значит, что одновремено могут сидеть и админ и хакер (ip подменить в http заголовке запроса подменить, как нефиг делать).

ip запоминается не после ввода пароля а при выделении идентификатора...
хакер должен знать идентификатор, ip и суметь его подменить... но тогда остается только использовать ssl и ему подобные вещи...

алгоритм не претендует на абсолютную защищенность...

APL
ты можешь кинуть сорсы насчет работы с паролем?
Заранее ПасиБ

мыло azakir@mail.ru

[APL]

сабж

Пожалуйст а и мне...
E-mail: kwazar@volsu.ru

[APL]

только я кину с использованием mySQL... сами перепишите если кому в текстовых базах надо...