---

Hej, jeg har et lille problem med noget sikkerhed i ASP.
Jeg har et stykke kode jeg bruger for at beskytte mine brugersider. Koden er:

if session("brugernavn") = "" then
    Response.Redirect("index.asp?mode=login")
end if

Den virker godt nok hvis man går til siden via et link, men hvis man skriver index.asp?mode=secret kommer man til siden alligevel, selvom det kun er oprettede brugere der skal have adgang til siden.

Håber der er nogen der kan hjælpe mig.

Mvh.
Casper

---

crha wrote in news:3xmQ7.755$Q3.83660@news010.worldonline.dk:

> Hej, jeg har et lille problem med noget sikkerhed i ASP.
> Jeg har et stykke kode jeg bruger for at beskytte mine brugersider.
> Koden er:
>
> if session("brugernavn") = "" then
> Response.Redirect("index.asp?mode=login")
> end if
>
> Den virker godt nok hvis man går til siden via et link, men hvis man
> skriver index.asp?mode=secret kommer man til siden alligevel, selvom det
> kun er oprettede brugere der skal have adgang til siden.
>
> Håber der er nogen der kan hjælpe mig.
>

du laver den "klassiske" fejl ved sikring af sider, at du overfører de
vigtige sikkerhedsparametre i din URL ... hvilket man aldrig må gøre.

Måden at gøre det på er:

Når du logger ind, så sætter du en session-variabel, hvis login går godt -
dvs noget i retning af

if rs("brugernavn") = request.form("brugernavn") then
response.redirect("entrance.asp")
session("logon") = "ok"
end if

På alle dine sider sætter du så koden

<%
if session("logon") <> "ok" then
response.redirect("logon.asp")
end if
%>

Hvis du så undervejs skal teste på, om brugeren er logget ind på andre måder
.... eller om der skal vises logon-forms eller ej, så tester du KUN på din
session-variabel - og ikke på din du smider med i din URL.

--
Jesper Stocholm - http://stocholm.dk

Gad vide hvor lang tid der går, inden danskerne
finder ud af, at de har købt katten i sækken til valget ...

---

Jeg har alle mine sider i en fil, og den tjekker om brugeren findes i en access-database. Under login har jeg følgende kode:

<% if mode = "login" then
                     
   if Request.ServerVariables("REQUEST_METHOD") = "POST" then
                        
   if Request.Form("brugernavn") <> "" AND Request.Form("adgangskode") <> "" then
                           
Sql = "select * from bruger where brugernavn = '" & Request.Form("brugernavn") & "'"
Set rs = Conn.Execute(sql)

Eller det er starten af den.

---

Tak for svaret Jesper Stocholm.
                        

Eftersom du ikke er logget ind i systemet, kan du ikke skrive et indlæg til dette spørgsmål.

Hvis du ikke allerede er registreret, kan du gratis blive medlem, ved at trykke på "Bliv medlem" ude i menuen.