ARCHIV

PHP (84) - Ještě k registraci

Chybovati je lidské, aneb proč se někteří uživatelé nemohli na náš cvičný portál registrovat.

29.12.2004 15:00 | Petr Zajíc | Články autora | přečteno 34199×

Dnes budeme řešit záležitost mimo plán - i takové věci se při vývoji software stávají. Budeme řešit reálný problém, který vznikl s registrací na tomto cvičném portálu. Je to naléhavé, protože většina věcí bez funkčního přihlašování nejde vyzkoušet.

Problém s přihlašováním

Pravděpodobně si vzpomínáte, že registrační skript generoval e-mail, který obsahoval instrukce k dokončení registrace. Vtip spočívá v tom, že uživatel si musí e-mail stáhnout a zařídit se podle instrukcí v něm obsažených. To v našem případě reprezentuje kliknutí na odkaz. A ten vede na stránku pro dokončení registrace. Pro osvěžení kód, který mail generuje:

V kódu nebylo nic závadného, a nic závadného nebylo ani v kódu, který registraci dokončuje:

Přes to přeze všechno kód některým uživatelům nefungoval. Jak se zdá, je to proto, že v proměnné $path je použito znaků, & jako entity ampersandu. Je tomu tak proto, že to vyžaduje norma a je to jistě správně. Někteří e-mailový klienti však mají se zpracováním takto napsaných odkazů problém a hodnoty parametrů clanek, id a email jsou předávány špatně nebo vůbec.

Řešení jsou v podstatě tři. Je možné:

1. Místo & psát pouze ampersand. To nechceme, není to podle normy.
   
2. Přepsat portál tak, aby odkaz na registraci nevyžadoval. To je v našem případě poměrně problematické, protože by to znamenalo změnit celou logiku zpracování registrace.
3. Přestat používat ve zprávě HTML tagy a posílat ji jako prostý text

My se pustíme tím třetím směrem a přepíšeme text zprávy tak, aby neobsahoval žádné HTML tagy. Neboli, ze zprávy ve formátu HTML uděláme zprávu ve formátu "prostý text". Sice to znamená, že uživatel nebude moci pohodlně dokončit registraci kliknutím na odkaz ve svém e-mailovém klientovi, ale:

• Zato to bude fungovat se všemi e-mailovými klienty včetně těch, kteří odkazy nepodporují
• Většina pošťáků si stejně bude hrát na chytré a odkaz z toho vytvoří. Doufejme, že správný.

Chyba plodí chybu

Aby toho nebylo málo, ukázalo se zároveň, že informační hláška po dokončení registrace "Vaše registrace byla dokončena" je v případě problémů s posíláním parametrů v odkazech v podstatě nesmyslná. Informuje nás totiž o něčem, co není pravda. Abychom měli jistotu, že se dotaz skutečně podařilo v databázi provést, měli bychom udělat nějaké testy. Tak například bychom mohli testovat, zda se tím příkazem změnil právě jeden řádek v databázi. Pokud se tak nestalo (nejspíš proto, že dotaz neaktualizoval žádný řádek), neměli bychom tvrdit, že "registrace byla dokončena". Úprava může spočívat v následujícím kódu:

Funkce mysql_affected_rows se zhruba podobná funkci mysql_num_rows až na to, že se používá pro zjišťování počtu řádků ovlivněných akčními dotazy, kdežto mysql_num_rows je pro počet řádků vrácených výběrovými dotazy.

Pozn.: Akční dotazy jsou takové, které mění stávající data. Jako například INSERT, UPDATE, DELETE a některé další. Výběrové dotazy jsou ty, začínající slovem SELECT.

Je to bezpečné?

Tak, chyba byla zažehnána. Když už jsme u registrace, nabízí se ještě jedna otázka: Je posílání identifikačního čísla a e-mailu uživatele bezpečné? Diplomatická odpověď je ta, že ne až tak úplně. Při troše důvtipu by totiž mohl útočník vyzkoušet různé kombinace parametrů id a při troše štěstí by se mu mohlo povést dokončit registraci i v případě, že by daný e-mail vůbec neexistoval! Navíc by každý, kdo by se dostal k přenášené poště mohl ze zprávy vyčíst identifikátor a e-mailovou adresu právě přihlašovaného uživatele.

Pozn.: Nám by to na testovacím portále sice zase až tak nevadilo, ale v praxi by mohlo být ověření funkční adresy pro portál klíčové a možnost zaregistrovat se bez uvedení platného e-mailu by mohla mít fatální důsledky. Stejně fatální by mohlo být vyluštění citlivých informací z e-mailu.

Tak či tak, nastíníme si řešení, které má oproti našemu současnému dvě podstatné výhody:

1. Namísto dvou parametrů id a email se skriptu posílá pouze jeden parametr. Ne snad, že by to vyřešilo problémy s ampersandy ve zprávě, ale bude to kompaktnější.
2. Přenášený údaj bude zašifrovaný a bude mu rozumět zase jen registrační skript

Dosáhnout toho není zas až tak složité, jak by se mohlo na první pohled zdát. Pokud využijeme poznatky z 51.dílu našeho seriálu o předávání dat pomocí parametrů, máme prakticky vystaráno. Kód by mohl vypadat nějak takto:

Telegraficky řečeno využívá se šifrování pomocí třídy Crypt_Xtea. Parametry se spojí do jednoho a zašifrují. Použití znaku "|" jako oddělovače je bezpečné, protože ani identifikátor ani e-mail jej nebudou obsahovat. Skript pro dokončení registrace pak může vypadat nějak takto:

... a následuje zápis do databáze, jak jej známe. Přičemž klíč musí být pochopitelně stejný jako ten, který jsme použili při šifrování. Proč jsou tam zahrnuty funkce base64_encode, base64_decode, urlencode a urldecode se dozvíte v 51. díle, kde je to rozebráno podrobněji. Zkráceně řečeno je to proto, aby se řetězec bezpečně přenesl jako text, přestože může být binární.

Poděkování za objev "zakopaného psa" patří Honzovi Houšťkovi, který přišel na to, že problémy při dokončování registrace způsobují mechanizmy, kterými někteří e-mailoví klienti zpracovávají odkazy v HTML zprávách.

Úloha komunity

V tomto bodě se hodí připomenout výhody sdílení kódu s jinými vývojáři, snad pod nějakou svobodnou licencí. Mají-li totiž ostatní přístup k tomu, co vyvíjíte, mohou se podobné problémy objevit a vyřešit mnohem pravděpodobněji, než když na projektu pracuje jeden vývojář nebo jen uzavřená skupina lidí. Proto byste při vývoji vlastního software měli minimálně uvažovat o tom, zda a za jakých podmínek by bylo možné zpřístupnit vaši práci ostatním vývojářům. GNU/Linux je na tomto principu založen a funguje. Nemá to nic společného s tím, zda za svou práci budete chtít peníze či nikoli; více se můžete dozvědět studiem příslušných licencí. Každopádně pozitivní vliv spolupráce více lidí při tvorbě kódu je nesporný.

Změny na portále

Především, všechny nedokončené žádosti o registraci byly z databáze odstraněny, takže se můžete znovu registrovat, pokud to předtím nefungovalo. Byly změněny soubory registrace.php a registracedokoncena.php. A byly přidány moduly pro šifrování. Na současný stav portálu se na našem webu můžete podívat, nebo si jej můžete stáhnout ve formátu zip.

Verze pro tisk

DISKUZE update 0 - 1 4.1.2007 08:39 onza   Re: update 0 - 1 4.1.2007 09:23 onza Zobrazit označené Zobrazit vše Příspívat do diskuze mohou pouze registrovaní uživatelé.