Hallo,
kurze Frage:

Ich bin gerade dabei eine kleine interne Downloadpage zu erstellen.
Um auf die Download.cgi zu kommen muss man sich auf der index.html mit Benutzername und Passwort anmelden.
Ich sende dann per POST die 2 Daten an mein login.cgi und überprüfe die MySQL Datenbank.
Wenn die Daten richtig sind, leite ich an die download.cgi weiter.

Das klappt auch alles, nur kann ich wenn ich den Pfad der download.cgi kenn, auch direkt über die Adressleite darauf zu greifen.
Wie kann ich einen Login erzwingen dass man nur wenn man angemeldet ist, sich auf der HP frei bewegen kann?

Grüße Pump

Da würde ich mit Sessions arbeiten. Wenn sich jemand einloggt, bekommt er eine Session-ID. Die musst Du in einem Cookie oder in einer Datenbank speichern. Wird die download.cgi aufgerufen, überprüfst Du die Session-ID. Ist diese gültig, wird der Download-Bereich angezeigt, sonst wird auf die Login-Seite verwiesen.

Okay also erzeug ich irgend ne schöne ID speicher diese in meiner DB bei den Benutzerdaten.

Wenn jemand die download.cgi aufrufen will, zieh ich die aus der DB raus und verlgeiche sie, aber mit was?

Du musst natürlich die Session-ID als Parameter übergeben. Du darfst aber nicht einfach nur vergleichen, sondern auch schauen, ob die Session-ID gültig ist. Viele machen eine zeitbasierte Gültigkeit.

Wenn Du einfachen Vergleich machst, dann kann jeder sehr schnell selbst eine gültige Session-ID erzeugen.

Schau Dir z.B. mal das Modul CGI::Session an. Dazu gab es hier auch schon mehrere Diskussionen.

evtl. wills du auch die Leute bedienen, die keine Cookies aktiviert haben. In diesem Fall versuchen beim Besuch der Loginseite ein Cookie zu setzen und wenn er dann eingeloggt ist, kann download.cgi versuchen das Cookie auszulesen. Wenn das klappt kann die Session-ID in dem Cookie für die weitere Authentifizierung gespeichert werden, ansonsten müssen alle weiteren Hyperlinks mit der Session-ID ausgestattet werden damit er beim nächsten Klick nicht gleich wieder rausfliegt.

Viele Grüsse

Frank

[quote=Guest,09.10.2006, 10:04]Wie kann ich einen Login erzwingen dass man nur wenn man angemeldet ist, sich auf der HP frei bewegen kann?[/quote]
HTTP-Auth für eine definierte Verzeichnisebene oder Session-IDs.

Cookies sind nicht zu empfehlen, weil der Besucher eventuell zur
Aktivierung von Cookies gezwungen wird. Das finde ich nicht schön!\n\n

<!--EDIT|opi|1161996175-->