PHP 用户类（登录/注销/注册）

php oop class login

2022-08-30 16:29:52

我开始尝试构建类，我首先将我的用户注册/登录转换为单个类。想在走得太远之前停下来征求反馈。

class UserService
{
    private $_email;
    private $_password;

    public function login($email, $password)
    {
        $this->_email = mysql_real_escape_string($email);
        $this->_password = mysql_real_escape_string($password);

        $user_id = $this->_checkCredentials();
        if($user_id){
            $_SESSION['user_id'] = $user_id;
            return $user_id;
        }
        return false;
    }

    protected function _checkCredentials()
    {
        $query = "SELECT *
                    FROM users
                    WHERE email = '$this->_email'";
        $result = mysql_query($query);
        if(!empty($result)){
            $user = mysql_fetch_assoc($result);
            $submitted_pass = sha1($user['salt'] . $this->_password);
            if($submitted_pass == $user['password']){
                return $user['id'];
            }
        }
        return false;
    }   
}

我确实有一个与我的类相关的问题是：我应该把它构建成这样：

$User = new UserService();
$User->login($_POST['email'], $_POST['password']);

其中，登录方法自动调用_checkCredentials方法。或者它应该像这样构建：

$User = new UserService();
$UserId = $User->checkCredentials($_POST['email'], $_POST['password']);
$User->login($UserId);

除此之外，我喜欢一些关于如何重组这个的提示，请指出我做错了什么！

谢谢你们

答案 1

我认为您的主要想法是将用户处理（会话）与数据库查询分开，这在我看来是一件好事。

但是，对于您的实际实现，情况并非如此，因为即使该方法的其余部分与数据库没有任何关系，也会转义要发送到数据库的数据。并不是说您的数据库查询依赖于全局资源才能工作。虽然我在这里，但我也会建议你使用PDO。login

此外，你的属性和位于专用范围内，但要由受保护的方法访问。这可能会导致问题。属性和方法应具有等效的可见性。$_email$_password

现在，我可以看到你需要三样东西：数据库处理程序，电子邮件和密码。将其放入构造函数中是有意义的。UserService

以下是我的做法：

class UserService
{
    protected $_email;    // using protected so they can be accessed
    protected $_password; // and overidden if necessary

    protected $_db;       // stores the database handler
    protected $_user;     // stores the user data

    public function __construct(PDO $db, $email, $password) 
    {
       $this->_db = $db;
       $this->_email = $email;
       $this->_password = $password;
    }

    public function login()
    {
        $user = $this->_checkCredentials();
        if ($user) {
            $this->_user = $user; // store it so it can be accessed later
            $_SESSION['user_id'] = $user['id'];
            return $user['id'];
        }
        return false;
    }

    protected function _checkCredentials()
    {
        $stmt = $this->_db->prepare('SELECT * FROM users WHERE email=?');
        $stmt->execute(array($this->email));
        if ($stmt->rowCount() > 0) {
            $user = $stmt->fetch(PDO::FETCH_ASSOC);
            $submitted_pass = sha1($user['salt'] . $this->_password);
            if ($submitted_pass == $user['password']) {
                return $user;
            }
        }
        return false;
    }

    public function getUser()
    {
        return $this->_user;
    }
}

然后这样使用它：

$pdo = new PDO('mysql:dbname=mydb', 'myuser', 'mypass');

$userService = new UserService($pdo, $_POST['email'], $_POST['password']);
if ($user_id = $userService->login()) {
    echo 'Logged it as user id: '.$user_id;
    $userData = $userService->getUser();
    // do stuff
} else {
    echo 'Invalid login';
}

答案 2

我以前在stackoverflow上说过很多次，但我认为你做错了，你再次试图创建一个登录系统（甚至Jeff Atwood也同意我的观点），这可能是不安全的。仅举几件可能出错的事情：

您不通过安全连接（https）进行身份验证，这意味着您的用户名/密码可以从网络上嗅探。
它可能有XSS孔。
由于不正确地使用了 salt，密码无法安全地存储在数据库中。您不是安全专家，因此我认为您甚至不应该将此类敏感信息存储在数据库中！
它有一个CSRF孔。

然后，我们还没有在您的服务器上创建另一个帐户。.您可以并且应该通过使用一种免费提供的替代方案来避免这种麻烦，这些替代方案已经过专家的安全漏洞测试：

openid => Lightopenid是一个非常容易使用/集成的库。甚至stackoverflow/jeff atwood也在使用它，因为他知道很难正确登录系统。即使您是安全专家。
谷歌朋友连接。
脸书连接。
推特单点登录。

因此，请再次设计另一个登录系统，而不是使用非常简单的lightopenid库，并让用户使用Google帐户登录。下面的代码段是使其正常工作所需的唯一代码：

<?php
# Logging in with Google accounts requires setting special identity, so this example shows how to do it.
require 'openid.php';
try {
    $openid = new LightOpenID;
    if(!$openid->mode) {
        if(isset($_GET['login'])) {
            $openid->identity = 'https://www.google.com/accounts/o8/id';
            header('Location: ' . $openid->authUrl());
        }
?>
<form action="?login" method="post">
    <button>Login with Google</button>
</form>
<?php
    } elseif($openid->mode == 'cancel') {
        echo 'User has canceled authentication!';
    } else {
        echo 'User ' . ($openid->validate() ? $openid->identity . ' has ' : 'has not ') . 'logged in.';
    }
} catch(ErrorException $e) {
    echo $e->getMessage();
}