Ik heb een formulier waar leden hun wachtwoord kunnen veranderen, maar ik heb hier het liefst een GET form.
In de link wordt het correcte oude wachtwoord meegegeven om te vergelijken bv:
?correctpw=a94a8fe5cffdfgfba61c4c0sdfsdf3d391e987982f654bd3&oldpw=test&newpw=test
is dit onveilig en MOET ik hier een post gebruiken?
Het voordeel van een get is dat je via de URL nieuwe pagina's kan aanroepen, ik zie daar hier niet echt het voordeel van eigenlijk.. Dus ik zou gewoon $_POST gebruiken.
die correctpw wordt meegegeven in een hidden textbox anders moet ik voor dat ene ww nog een query doen
@ArieMedia:
Dat kan ik doen maar ten 1e werkt die header bij mij enkel helemaal boven de pagina waar <html> nog niet is geopend en ten 2e dan zie je je pagina hele tijd flipperen omdat hij herlaadt, toch?
Ik zeg POST, kan je dit namelijk niet via packets sniffer programma'tjes zien? als je iemand zn username weet.. je trace't alle data op het netwerk, ziet die link voorbij komen en je weet meteen zijn nieuwe ww?
die correctpw wordt meegegeven in een hidden textbox anders moet ik voor dat ene ww nog een query doen
@ArieMedia:
Dat kan ik doen maar ten 1e werkt die header bij mij enkel helemaal boven de pagina waar <html> nog niet is geopend en ten 2e dan zie je je pagina hele tijd flipperen omdat hij herlaadt, toch?Â
Klopt. headers moeten altijd voor een output staan. dus:
echo 'Mies eet een appel'; // <-- dit geeft dus een error, want je stuurt al wat naar de browser
if(!isset($_GET['noref'])) {
header('Location: mies.php?noref=1');
}
echo'Mies eet een appel';// <-- dit geeft dus een error, want je stuurt al wat naar de browser
$sRet = 'Mies eet een appel'; // <-- dit geeft GEEN error, want je stuurt nog niks terug naar de browser
if(!isset($_GET['noref'])) {
header('Location: mies.php?noref=1');
}
echo $sRet; // <-- hier stuur je pas wat naar de browser terug.
$sRet='Mies eet een appel';// <-- dit geeft GEEN error, want je stuurt nog niks terug naar de browser
echo$sRet;// <-- hier stuur je pas wat naar de browser terug.
--> dan zie je je pagina hele tijd flipperen omdat hij herlaadt, toch?
Ik heb al een voorbeeldje gegeven hoe je het op kan lossen, maar je herlaad de pagina natuurlijk alleen als er aan bepaalde voorwaarden zijn voldaan, dus je controleert eerst wel of er wat geupdate moet worden.
maar bij mij geef ik de link van de persoon zijn eigen 'correcte' sha1(wachtwoord) mee in de url, dit zou in het principe toch niet onveilig kunnen zijn ofwel? want het formulier bevat namelijk ook andere dingen zoals naam, voornaam, adres, blabla dus gwn method="get"
[..quote..]
BTW: Als je een hash van "oldpassword" meegeeft, dan kan een kwaadwillende een rainbow crack over je md5 heen gooien en dan hettie je password...
als dat tegen mij was van die hex vertalen, geen nut dan, het zijn maar wat verzonne tekentjes
je zegt een kwaadwillende, maar oldpassword komt enkel in de url te staan als je reeds bent ingelogd, dus je kan enkel je eige oude pass gaan achterhalen.
maarja soit ik zal het maar gwn op post zetten, die mensen moeten maar niet op back klikke XD
als dat tegen mij was van die hex vertalen, geen nut dan, het zijn maar wat verzonne tekentjesÂ
je zegt een kwaadwillende, maar oldpassword komt enkel in de url te staan als je reeds bent ingelogd, dus je kan enkel je eige oude pass gaan achterhalen.
maarja soit ik zal het maar gwn op post zetten, die mensen moeten maar niet op back klikke XD
Ik gaf je een voorbeeld hoe mensen op back kunnen klikken maar waardoor de $_POST weg gaat
Wat is jouw favoriete javascript framework? (S: 18, R: 2)
Gesponsorde links
Actiefste leden van de maand
