Loguit systeem beveiligen

Hey mensen, ik heb EINDELIJK mijn login-systeem qua core af.
Nu heb ik een vraag, ik weet uit ervaring dat mensen
Codeblok (voorbeeld.php):

1

[img]logout.php

gaan doen, dus hoe beveilig ik dit?

Quote:
include includes/config.php;
if (isset($_SESSION[id])) {
session_destroy();
header("Location: http://creeby.nl/index.php", TRUE, 303);
} else {
header("Location: http://creeby.nl/login.php", TRUE, 303);
}
?>

Ik dacht aan een $_GET en dan kijken of ?hash=md5(sha1(mt_rand(1,100))) en die opslaan in database, en dan uitladen in menu. Iemand suggesties?

gewoon een unieke hash eraan koppelen om CSRF-hacks tegen te gaan. Bij voorkeur niet afleidbaar uit je wachtwoord. Gewoon een md5 per mailadres+bepaalde salt+string bijv.

Een Cross Site Remote File Injection bedoel je?

Geef is een voorbeeld? Ik zat te denken aan:

$uQuery = mysqli_query($link, "SELECT * FROM users WHERE id = " . mysqli_real_escape_string($link, $_SESSION[id]) . " AND NOT type = 4") or die(mysql_error());
$uFetch = mysqli_fetch_assoc($link, $uQuery);
$hash = md5(mt_rand(1,9999)($uFetch[email]))

Maar, hoe sla ik dat op als hash, en lees ik dat uit..
Kan zijn dat ik haakje ben vergeten

Pepijnownt schreef:

Een Cross Site Remote File Injection bedoel je?

Net geen hoofdprijs! Het is: http://en.wikipedia.org/wiki/Cross-site_request_forgery

- Foutafhandeling is ruk. die() hoort op het kerkhof
- Je haakjes kloppen niet..

Verder ben je goed op weg, want met hash zou je een unieke code nu moeten krijgen. Echter is deze random, dus hoe wil je hem vergelijken? Of sla je hem apart op?
Je kan van $uFetch[email] ook een md5() maken met een salt eraan vast.

Weet ik dat ook weer!

- Oeps, ik moet niet doodvallen.
- Is bedoeld als voorbeeld en even snel ingetikt.

Ik wil hem gewoon opslaan in een database.

Ikzelf zou het afleiden van een ander unieke string, zoals een mailadres.
Bespaart ruimte.

Ik doe dit morgen, heb al geen nachtrust gehad, niet goed voor programmeertalen..