Brukernavn og passord lagres kryptert (les: kun passord krypteres) i en mySQL database. Vårt eksempel baserer seg på den kraftige md5-krypteringen i php. I php finnes det i dag ingen metode for å dekryptere md5. Derfor er det bare en måte å finne ut om brukerens passord stemmer. Du må nemlig kryptere det inntastede passordet også, og deretter sjekke det med databasen.

Hvis brukeren glemmer passordet sitt, må serveren, på brukerens kommando, generere et nytt passord. Deretter sendes dette i en mail sammen med en aktiveringskode for det nye passordet. Dersom det ikke var riktig bruker som tastet inn passordet, og den riktige brukeren prøver å logge seg inn, slettes det genererte passordet, samt aktiveringskoden. Men i denne guiden skal jeg kun legge vekt på selve innloggingen.

Det første du gjør, er å lage et innloggingsskjema, eksempel:

Som du ser har jeg lagt inn en variabel som heter login, dersom denne er satt, vil systemet forsøke å logge deg inn.

Deretter begynner mySQL-sjekken. Ved å spørre basen om det finnes en post hvor man finner både det inntastede passordet, og det krypterte passordet, ser man fort om det er brukere i basen. Bruk funksjonen mysql_num_rows til p finne ut hvor mange rader det er. Slik ser funksjonen ut:

Som du ser er hele login-prosedyren blitt lagt inn i funksjonen auth. Funksjonen returnerer TRUE dersom det eksisterer rader med den inntastede informasjonen, og returnerer FALSE dersom det ikke gjør det.

Nå må du bare sette opp en if for å finne ut om brukeren har trykket på Logg inn knappen i skjemaet. Du må også sette inn en if for å finne ut om brukernavn og passord er riktig.

Når dette er gjort er du nesten i mål. Det eneste du må gjøre nå er å sette opp sessions. Sessions blir startet opp med session_start(), denne koden setter vi opp øverst i dokumentet, for å gi php beskjed om å initiere session. Sesjons-variabler kan lagres på to måter, enten med variabelen $_SESSION['dinsesjonsvariabel'], eller ved å bruke session_register("dinsesjonsvariabel"). For å slette all sesjonsinformasjon, bruker man session_unset.

Den komplette loginfunksjonen vil da bli slik:

Som du ser av eksempelet over, har jeg benyttet meg av $_SESSION isteden for session_register. Dette er fordi denne funksjonen har visse svakheter, og fordi det blir mer oversiktlig. Du ser også at brukernavnet blir lagret, i tillegg til det ukrypterte passordet, dette vil kun bli lagret på din maskin, eller i en temporær fil på serveren, og det er derfor ingen høy sikkerhetsrisiko. I tillegg lagres det en sesjonsvariabel som heter loggetinn, dette er fordi nettsiden din lett skal kunne se at personen er logget inn, samtidig som passord og brukernavn blir for hver side brukeren er inne på. Hvis variabelen $loggut settes til 1, for eksempel i en link, vil all sesjonsdata slettes. Du ser også at dersom brukeren har benyttet seg av loginskjemaet, vil siden reloade. Dette er fordi sesjonsvariabelene bruker en sidereload på å registrere seg første gangen.