Защита от перенаправления по url.

[Denzi]

Как написать систему защиты, чтобы тебя перенаправляло на ту страницу с которой ты хочешь перейти. То есть если ты с юзера хочешь в админ попасть, то тебя обратно на юзера перекинет, и на оборот. Если ты с авторизации на юзера хочешь перейти просто по ссылке, то тебя направит на авторизацию. Так же на странице юзера имеется окно с отправкой запроса. Я сделал запрет с помощью ($_SERVER['HTTP_REFERER'] но когда юзер отправляет запрос его перекидывает на страницу авторизации. Внизу скриншоты попытки написания защиты у user, такой же код у tech(admin), только с изменением ссылки.

 

[antonio]

Про сессии вспомни.

 

[Denzi]

Про сессии вспомни.

а как это воплотить в код? Я просто не совсем понимаю, может имеется какая та статья по этому вопросу.

 

[Denzi]

Про сессии вспомни.

Я подумал может написать на подобие что то такого.
if ($_SERVER['HTTP_REFERER'] != 'http://requests/tech/') {
if($_SESSION['status']=='1');
header('Location: http://requests/tech/');
}
}

Но я не уверен в правильности написания кода.

 

[fixxxer]

Зачем тебе referer?
Прежде чем редиректить на авторизацию со страницы, к которой в данный момент нет доступа, запиши в сессию текущий урл. Как авторизуется, возвращай на тот, который в сессии. А если там ничего нет, то на какой-то вариант по умолчанию.
А когда авторизовал, запиши в сессию тип пользователя, и потом соответственно ему редирект делай.

 

[Denzi]

Зачем тебе referer?
Прежде чем редиректить на авторизацию со страницы, к которой в данный момент нет доступа, запиши в сессию текущий урл. Как авторизуется, возвращай на тот, который в сессии. А если там ничего нет, то на какой-то вариант по умолчанию.
А когда авторизовал, запиши в сессию тип пользователя, и потом соответственно ему редирект делай.

Не совсем понял как это воплить. Я получается избавляюсь 100% от referer.

 

[AnrDaemon]

Referer вообще может не быть.

 

[Denzi]

Referer вообще может не быть.

Я сделал у меня работает, но мне говорят что referer слишком не рабочий и можно сделать обход все верно или нет?

 

[c0dex]

Если это у тебя работает, то не факт, что это реально работает, а не кажется.

@fixxxer дело советует про сессии и проверку типа юзера.

 

[Denzi]

Если это у тебя работает, то не факт, что это реально работает, а не кажется.

@fixxxer дело советует про сессии и проверку типа юзера.

А как проверить в работоспособности?
Путем заливки на хост?

 

[c0dex]

Писать код так, как это делают знающие дядьки, тебе посоветовали подход. Дальше у тебя будет куча "велосипедов" часть с которых не будет работать нормально. Но это как говорится побочные результаты обучения.

По словам php session auth есть куча примеров разной сложности и применимости. Ну и можно всегда почитать книги.

 

[ksnk]

Хранить "реферер" в сессии не особо разумно. Если открыть пару вкладок с сайтом , это станет очевидно.
Нужно либо генерировать в скрытом поле формы обратный урл, либо подсовывать его javascript'ом.