環境変数からIDを取得しユーザー設定へのアクセスをコントロール

質問

会員サイトを構成するためログインシステムを導入しました。しかしそのログインシステムではブロックしているすべてのエリアにログインしていればアクセスできるためコントロールできるようなシステムを探しています。

具体的には

http://hoge.com/loginsystem.cgi でログインします。

すると　http://hoge.com/logingsystem.cgi/index.html にジャンプし会員エリアにアクセスします。

この場合ユーザーの環境変数でIDが取得できます。今回やりたいことは

IDがhogeでログインした場合、 http://hoge.com/loginsystem.cgi/memebr.cgi?id=hoge またはhttp://hoge.com/loginsystem.cgi/memeber/hoge/

にはアクセスできるが

http://hoge.com/loginsystem.cgi/member.cgi?id=moge
にはアクセスできない状態です。

このようにコントロールしてくれるシステム構成はできますでしょうか？

よろしくお願いいたします。

回答No.3

YUTAKUN007 · ベストアンサー

非常にスパゲッティなスクリプトですが
イメージとしてはこんな感じでしょうか。
実際には動きませんが(笑)

<?
/* ユーザー認証を行わせるスクリプト */
$loginname = $_POST['loginname'];//フォームからPOSTで渡された値。
$password = $_POST['password'];
//データベースからログイン情報を読み出す。
//データベースがなければテキストファイルから読み込んで
//配列処理させる。パスワードは暗号化しておいたほうがよい。
//少人数ならBASIC認証を使ったほうがシンプルかもしれませんね。
$sql = <<<EOF
SELECT loginname,password FROM `userdb` where `loginname` = '$loginname';
EOF;

//データベースへクエリを投げる構文を。
//PEAR系のクラスを使うとデータベースの変更にも柔軟に対応できるので○

$loginnamedb = データベースから取得したユーザーネーム
$loginpassdb = データベースから取得したパスワード

if($loginnamedb == $loginname || $loginpassdb == $password){
//Trueならセッション情報を記録
session_start();
$_SESSION['loginname']=$loginname;
$_SESSION['password']=$password;
$_SESSION['ip']=getenv("REMOTE_ADDR");
$_SESSION['login']=True;
}else{
//Falseならエラーメッセージ
echo "ログイン情報が違います<BR>\n";
}

?>
<?
/* 制限したいページの頭に */
//このスクリプトはrequire_once();で呼び出す。

if(isset($_SESSION['loginname']) || isset($_SESSION['password']) || isset($_SESSION['ip']) || $_SESSION['login'] ){　//issetでセッション変数使えたかな？

//より強固にしたければここでも認証すればよい

$remoteip = getenv("REMOTE_ADDR");
if(!$_SESSION['ip'] == $remoteip){
//セッション変数に登録されたipアドレスと今現在アクセスしているURLが
条件を満たしているか。
header("Location: ログインページのURL");
exit;
}

}else{
//情報が揃ってない場合、情報がない場合

header("Location: ログインページのURL");
exit;
}
?>

<?
/* ログアウト */

if(session_destroy())
echo "ログアウトしました。";
}else{
echo "ログアウト処理失敗　もしくはもうログアウト済みです。";
}
?>

誰か詳しい方補足願います(--;

お礼

回答ありがとうございました。

ローカルの実験サーバーで試してみましたがうまくいきません。。。。やはり受注してしっかりとしたものを設置するべきなのでしょうね。

わざわざこれほどまでに書いていただきありがとうございました。

回答No.2

YUTAKUN007

ログインで認証をするスクリプト
　データベースか、データファイルからIDとPASSWORDを
　引っ張り認証させ　ＯＫならセッション関数を使いアクセスを記録。
　クライアントにはSIDクッキーをかませる（勝手にやってくれるが）
　セッションIDを盗用された場合を考えIPアドレスを一緒に登録しておくとよい。

ログアウトスクリプト（必要なら）
　セッション情報を破棄してクッキーを削除するスクリプト

制限したいページ
　ページの冒頭で下記のスクリプトを読み込ませる。
　セッション情報があればユーザー名を読み込み
　アクセス可能なユーザー名であればコンテンツ表示。
　アクセス不能な場合はエラーメッセージ。
　セッション情報がなければLocationヘッダーでログインページに飛ばす。

こんな感じでしょうか。

お礼

再度ご回答いただきまことにありがとうございます。

>　セッション情報があればユーザー名を読み込み
> アクセス可能なユーザー名であればコンテンツ表示。

をどのように処理すればいいのでしょうか？

回答No.1

YUTAKUN007

セッション関数を活用できますね。
ログインページでログインフラグをたて、
各ページの冒頭でＩＤ毎の処理を行う。
グループ別に処理することも可能ですね
DBを活用すれば構築できると思いますよ。

お礼

回答ありがとうございました。

>DBを活用すれば構築できると思いますよ。

この方法を詳しく教えていただけると幸いです。