HTML, PHP Sicherheit

Rodrog · 14. Juli 2013, 12:23

Hallo Community,

hab mal eine Frage: Und zwar ich sollte für meine Schwiegereltern ein Betriebsprogramm schreiben. In diesem sollte es Funktionen geben, wie Personal hinzufügen, bearbeiten, anzeigen und auch eine Zeiterfassung. Jetzt hab ich für das ganze eine Java-Projekt gemacht, das mit einer MySQL datenbank kommuniziert. Jetzt kam ich aber auf die Idee eine eigene Homepage dafür anzulegen, da das ganze "Projekt" überall erreichbar sein sollte. Ich denke ich bin bestimmt gleich sicher unterwegs. Wie kann ich jetzt die php-scripts sicher machen, dass kein anderer darauf zugreifen kann. Es sollte ebenfalls ein Berechtigungssystem geben, wo man gewisse User anlegen kann, die gewisse sachen machen dürfen. Wie würden die Tabellen dafür dann ca. aussehen? Wie könnte ich das am besten lösen? Ich hoffe ihr versteht so ca. was ich meine.

Mit freundlichen Grüßen
Rodrog

jlsnews · 14. Juli 2013, 13:20

Ungefähr wie das da?

absenoweb.eu

DragonGamer · 14. Juli 2013, 13:55

Das was du vorhast gibt es schon ein paar Dutzend mal.. (mindestens).
Habe selbst mein BOGY in einer Firma gemacht die sowas ähnliches entwickelt (war langweilig >_> )

Selbstgemacht ist aber natürlich noch eine Spur flexibler _wenn man sich wirklich auskennt_ (nicht umsonst verwenden aber auch zahlreiche Firmen mit einem eigenen Webmaster, externe Dienste).
Wird das Ganze auf einem sicheren, eigenen Server laufen?
Dann reicht der Schutz durch PHP selbst im Grunde aus. Du hardcodest einfach ein passwort in das php-Dokument das beim Aufrufen zunächst abgefragt wird (mittels Java-Script-popup-box ginge am einfachsten). Nur wenn der Benutzer das richtige passwort eingegeben hat, wird der Rest der Seite angezeigt (eventuell durch Neuladen der Seite und Übertragung mittels POST).
Je nach dem wie gut du dich auskennst, kannst du Sessions einbauen damit nicht bei jedem neuen Aufruf der Seite das Passwort erneut benötigt wird...

boxxar · 14. Juli 2013, 13:59

Wenn das ganze nur intertn verwendet werden soll ist die beste Lösung vermutlich, es durch HTTP-Authentifikation zu schützen, d.h. du schützt den gesamten Ordner nicht durch irgendwas im PHP Code, sondern lässt den Server den Zugriff nur für authentifizierte Benutzer erlauben. Das spart einem eine Menge Kopfzerbrechen beim PHP Programmieren und ist im allgemeinen weniger Gefährlich als das ganze selbst zu implementieren ...

Rodrog · 14. Juli 2013, 22:40

Also das ganze soll ja Anders auch noch laufen. Beispielsweiße soll man auch Projekte anlegen können, welche wiederrum bei der Zeiterfassung relevant sind. Ebenfalls sollen Eingangsrechnung gespeichert werden können, die auch zum Beispiel zu Projekten "angehängt" werden. Also deswegen will ich einfach kein fertiges Ding nehmen.
Meine PHP-Kenntnisse sollten eigentlich ausreichen, da ich auch schon einiges in PHP gemacht habe, und mit sessions kenne ich mich zum Beispiel auch aus. Und es gibt ja das Internet und die liebe Community

Eigentlich war mein Plan ca. so:
Benutzer geht auf die Homepage -> Er sieht ein Textfeld für den Benutzer und auch ein Passwortfeld.
Nach der Eingabe, wird überprüft ob der Benutzer, mit diesem Passwort in der Datenbank existiert -> Wenn ja: Weiter sonst Fehlermeldung. Bei den einfügen, bearbeiten Funktionen, wollte ich dann halt überprüfen ob die session existiert und Passwort und so wieder abfragen und damit halt richtig umgehen.

So hab ich mir das ganze Gedacht, ob das sicher ist weiß ich nicht.
Bem.: Ich habe meinen Schwiegereltern auch schon gesagt, dass sie dann Passwörter verwenden sollen, die min. 15 Zeichen haben. Ach und so noch nebenbei: Derzeit ist der Stand so, dass es keinen Server gibt, sondern einfach von 1und1 ein Paket ausgewählt wird, da bei 1und1 auch die richtige Homepage liegt.

HTTP-Authendifikation kenne ich nicht, werde mir das jetzt aber schnell mal anschauen.

Danke schon mal für die Antworten

Mit freundlichen Grüßen
Rodrog

DragonGamer · 14. Juli 2013, 23:02

Also das ganze soll ja Anders auch noch laufen. Beispielsweiße soll man auch Projekte anlegen können, welche wiederrum bei der Zeiterfassung relevant sind. Ebenfalls sollen Eingangsrechnung gespeichert werden können, die auch zum Beispiel zu Projekten "angehängt" werden.

Sowas nennt sich z.B. Eventmanager o.ä. Sowas gibt es ebenfalls schon! Glaubst du die Firma deiner Schwiegereltern ist die erste die alles digital organisiert?

Rodrog · 14. Juli 2013, 23:09

Hehe^^ Nein, das war mir doch bewusst. Aber das Problem ist, dass das Design einfach sein muss und einfach einfach einfach ist. Und außerdem ist es eine gute Übung meinerseits.