kruglov, спасибо за ответ.
По SSL, немогу найти материала, непонимаю что вообще нужно сделать для безопасного соединения.
Но я думаю на самом деле для админитратора сделать пароль символов 15-20.
Исходя из всех объяснений, напишу изменения, к описанному в самом начале, методу авторизации, и если такой метод приемлем, то буду его использовать:
(1) Данные вводимые пользователем (логин и пароль) обрабатываю только так: удаляю пробелы - trim(), прослэшиваю перед записью в БД - mysql_real_escape_string().
(2) Пароль шифрую при помощи crypt:
# Записываю пароль в БД так (без указания salt) - crypt($password)
# Извлекаю пароль из БД ($password) для данного пользователя и просто сравниваю его с введенным паролем:
PHP:
$query = mysql_query("select password from users where username = '$username'");
$password = mysql_reult($query1, 0, 'password')
if (crypt($password_input, $password) == $password) {
// То пароль верен
}
(3) SLEEP() использовать для задержки не буду, от DDOS-аттак непоможет, как я понял из объяснений.
Скажите пожалуйста, а как к примеру на этом форуме делают задержку на выполнение запросов при поиске, т.е. если я сделаю два запроса подряд в поиске, то будет сообщение, о том, что запрос можно повторить только через 3 секунды???
И стоит ли разделять таблицу обычных пользователей с таблицей администратора и модератора, или никаких плюсов в безопасности здесь нету, и можно все в одну таблицу???
И тако вопрос, немного не по теме, но если кто-то может, то ответте пожалуйста:
вот к примеру я делаю таблицу для неудачных авторизаций:
userdanger(username, date, time) - получается здесь нету первичного ключа, потому что username будет соответсвовать таблице users (если надо будет делать объединение), нормально ли так оставить или сделать еще id c auto_increment?
