Aide en PHP

Salut à tous,

Je dois créer un site pour mon projet de terminale et je dois donc utiliser du PHP.
Problème je ne suis pas se qu'on pourrait qualifier d'un boss en PHP.
J ais besoin de votre aide car je dois faire du PHP afin d'accéder a un formulaire en utilisant le login et le mot de passe des utilisateur de ma base de donné.
Voici donc le script faites moi part des erreurs et des choses a modifier svp.
D'avance merci beaucoup pour ceux qui voudront bien m'aider.

<?PHP

	//Affectation des valeurs saisies dans le formulaire signalerpanne dans une variable PHP

	$login=$_POST['loginProprio'];

	$password=$_POST['mdp'];



	//Connexion au server mysql

	$db=mysql_connect('localhost', 'root', '') or die ('erreur de connexion au serveur');

	//Ouverture de la bdd

	mysql_select_db ("gdv") or die ("erreur de connexion à la base de données gites du vertiges");

	//Requete de recherche du login de l'utilisateur

	$req="SELECT NomProprio,VilleProprio from proprio where loginProprio='".$login."';";

	$resultat=mysql_query($req) or die ("erreur dans la requete");

	$nbligne=mysql_num_rows($resultat);

	$ligne=mysql_fetch_array($resultat);

	echo $req;

	If ($ligne['Login']=="$login")

		{

		include('formulaire_saisie.html'); //ouverture d'un formulaire

	}

	Else

	{

		echo "Votre identifiant n'éxiste pas ou est invalide. <br />";

		echo "Veuillez vérifier votre identifiant";

	}

	//Fermeture de la bdd

	mysql_close();

	

?>

(Modifié par ben le 28-05-2008 à 20:01)

Salut,

Pour éviter qu'un petit malin ne puisse pirater ta base de données:

$req="SELECT NomProprio,VilleProprio from proprio where loginProprio='".addslashes($login)."';";

tu n'utilises pas cette information:
$nbligne=mysql_num_rows($resultat);

Il n'y a aucun élément "login" dans ta requete SQL, donc ça sera toujours faux
If ($ligne['Login']=="$login")

Tu ne vérifie pas le mot de passe?

Tu pourrais faire, par exemple:
$req="SELECT NomProprio,VilleProprio from proprio where loginProprio='".addslashes($login)."' AND mdp='".addslashes($mdp)."';";

Si la requête ne retourne rien, c'est que l'identifiant ou le mot de passe est mauvais, et tu les redemande.

Ben

Ben à totalement raison. PHP est un langage super mais il faut faire attention à la sécurité.

Je rajouterais juste une chose par rapport au mot de passe : Si tu veux un peux plus de sécurité, amuse toi à le transformer en MD5.

Juste une explication. MD5 est en fait un algorithme de cryptage. Il transforme un texte en une "empreinte numérique" qui sera ensuite "impossible" à retranscrire... Tu dois donc définir ton champ en MD5 dans la base et lors du where tu dois utiliser la fonction MD5 de PHP pour faire la comparaison. C'est juste que si jamais un gentil pirate arrive dans ta base, il ne pourra pas lire tes mots de passe.

Bonne chance pour ton site

Je pense que cela n'est pas son principal soucis pour l'instant, son site étant pour un TPE, la sécurité n'est pas primordiale.