crypt - SQL und ENCRYPT

[Forumsgast]

Ich möchte das Passwort mit crypt verschlüsseln, per Cookie speichern und dann per SQL-Abfrage überprüfen. Leider scheitert es bei der SQL-Abfrage.

<?
$password = "geheim";
$crypt    = crypt($password, "test");

echo $password."<br>";
echo $crypt."<br>";

echo "SELECT ENCRYPT( '".$crypt."', 'test' )<br>";
$sql = "SELECT * FROM _user WHERE id=1 AND password=ENCRYPT('".$crypt."','test')";
echo $sql;
?>

Findet jemand den Fehler ? Oder wie könnte man das besser machen ?

[Forumsgast]

Man speichert keine Passwörter beim Client.

[Forumsgast]

Man speichert definitiv keine Passwörter beim Client! Auch keine Hashes von Passwörtern oder die verschlüsselte Version davon!

[Forumsgast]

Okay und was wäre besser ? Wie wird das am sichersten gemacht, dass der User auch noch nach 7 Tagen eingeloggt ist (wenn ich sich nicht ausgeloggt hat)

Sessions sind doch dann wieder weg oder ?

[Forumsgast]

Ja Sessions sind weg. Du speicherst einen zufällig generierten Code beim Benutzer in der Datenbank und speicherst diesen Code im Cookie. Wenn der Benutzer dann wieder auf die Seite kommt kannst du überprüfen ob der Code irgendwo in deiner DB existiert, wenn ja kannst du den Benutzer einloggen.

[Forumsgast]

Wie lang sollte der Code sein. Und ist es nicht das selbe wie ein Passwort ?

[Forumsgast]

Es ist nicht das passwort. Heißt wenn jemand anderes an den Code kommt weiß er den Code, aber wenn jemand das Passwort kennt ist das viel gefährlicher. Er kann sich dann immer einloggen, er kennt vlt. das Passwort das der Benutzer noch in anderen Anwendung benutzt ...

[Forumsgast]

Ich sollte dazu noch den Usernamen oder die Userid im Cookie speichern, weil man ja sonst "ausversehen" in einen anderen Account eingeloggt werden könnte.

Gibt es vielleicht irgendwo ein Beispiel-Script was das alles optimal abwickelt. Ich würde mir das gerne mal anschauen und dann in mein Script integrieren.

[Forumsgast]

Denke nicht das du so einfach nen Beispiel-Script findest das du in deines integrieren kannst. Und nen Code sollte reichen. Du kannst ja immer wenn du nen neuen Code generierst kucken ob so einer schon existiert, wenn ja -> nen neuen generieren bis du einen noch nicht vorhandenen hast.