Способы авторизации

Регистрация должна выглядить как-то так:

PHP:

1. <?php
2. $user = accounts::newOne();
3. $user->nick = $nick;
4. $user->email = $email;
5. ....
6. $user->save();
7.  или
8. accounts::save($user);

предварительно правильность формы проверена и данные сложены вот в эти $nick, $email и т.п.
Соответственно потом авторизация

PHP:

1. <?
2. $user = accounts::loadOne(array('nick'=>$nick, 'password'=>$password));
3. if ($user == false) {
4.  ошибка
5. } else {
6.      $_SESSION['authed'] = $user->id;
7. }

в дальнейшем

PHP:

1. <?
2. if (key_exists('authed', $_SESSION)) {
3.      $user = accounts::loadOne('id'=>$_SESSION['authed']);
4.      echo 'Привет, '.$user->nick;

А алгоритм... можно по всякому написать, все равно одно и то же - проверка по регулярке или функции, эскейп, запрос к БД, разбор результата, ответ.

 

это скучно, нудно и не итерестно, пишу так что бы работало ...

 

admyx
я пришел к выводу, что в отдельном классе auth смысла нет. Достаточно аккаунтов, и свой handler для сессий, если надо пользователей онлайн контролировать.
А так - конечно первый вариант!

 

у меня с пофигом на низком уровне абстракции делается регистрация и авторизация, в кабинете в начале каждого метода
стоит $this->checkAuth(); а user будет тупо с ArrayAccess внутри всякие листы, сверху mapper

 

admyx
Так лучше, но проверка на авторизацию не имеет смысла когда создается новый пользователь. И иногда может потребоваться собрать объект без авторизации, например когда один пользователь редактирует другого. Придется добавлять конструктору параметр

PHP:

1. public function __construct((bool)$check_auth);

а это согласись как-то костыльно

 

Т.е. если пользователь авторизирован, мы не можем сконструировать новый объект пользователя?

Есть смысл разграничивать доступ к интерфейсу для выполнения каких-то действий, нет смысла ограничивать в этом программиста.
Придется делать лишние правила прав пользователей, и это при том что кодер может сделать тупо mysql-запрос.

 

а я вообще хотел в сессию писать access и потом по нему с помощью factory создавать юзера или глупая затея?(как это все дальше будет пока не думал)

 

Ну к примеру в одном смс-сервисе когда приходит смс создается без всякой авторизации объект пользователя, идентифицируясь по номеру телефона, вносятся изменения и сохраняются, пароль меняется.
Если правами регулировать доступность методов, то менять пароль можно доверить только самому пользователю, и, скажем, администратору. А смс-ресиверу заводить отдельную группу.
Это лишние усложнения. Угрозу могут представлять только переменные, полученые по HTTP. Если группа не позволяет менять пароль, то и не проверять наличие этого поля, вот и все.
Больше примеров правда у меня нет)

 

а кто как выводит ошибки?

 

у меня так получилось сегодня, потом вставляю в основной шаблон то что возвращает функция, ошибку либо пустую строку

PHP:

1. <?php    
2.     private function getError(){
3.         $errors = array(1 => 'не верный код с картинки',
4.                          2 => 'имя должно быть от 3 до 20 знаков',
5.                          3 => 'пароли не совпадают',
6.                          4 => 'не правильно указан e-mail',
7.                          5 => 'e-mailы не совпадают',
8.                          6 => 'пароль должен быть от 4 до 14 знаков',
9.                          7 => 'такой e-mail уже используется',
10.                          8 => 'подтвердите регистрацию'
11.                         );
12.         $error = '';
13.         if(isset($_GET['error']) && array_key_exists($_GET['error'], $errors)){
14.             $error = (int)$_GET['error'];
15.             $this->registry['view']->setPath('template/auth/error_panel.html');
16.             $this->registry['view']->setVar('error', $errors[$error]);
17.             $error = $this->registry['view']->prepare();
18.         }
19.         return $error;
20.     }

вот думаю как лучше сделать, может так:

PHP:

1. <?php
2.     private function catchError(){
3.         $errors = array(1 => 'не верный код с картинки',
4.                          2 => 'имя должно быть от 3 до 20 знаков',
5.                          3 => 'пароли не совпадают',
6.                          4 => 'не правильно указан e-mail',
7.                          5 => 'e-mailы не совпадают',
8.                          6 => 'пароль должен быть от 4 до 14 знаков',
9.                          7 => 'такой e-mail уже используется',
10.                          8 => 'подтвердите регистрацию'
11.                         );
12.         $error = '';
13.         if(isset($_GET['error']) && array_key_exists($_GET['error'], $errors)){
14.             $error = (int)$_GET['error'];
15.             $error = $errors[$error];
16.         }
17.         return $error;
18.     }
19.  
20.  
21.     private function getError($error){
22.         $this->registry['view']->setPath('template/auth/error_panel.html');
23.         $this->registry['view']->setVar('error', $error);
24.         return $this->registry['view']->prepare();
25.     }
26.  

тогда такое использование:

PHP:

1. <?php
2.         $error = $this->catchError();
3.         $error = $this->getError($error);

с другой стороны можно зайти и в обном месте поменять и ошибки и шаблон
а может быть сделать как то еше

admyx
тоже не люблю нотисы, напрягают они меня ))

 

А у меня технология которую надо запатентовать

HTML:

1.     <tr>
2.         <td colspan="2">
3.         <div style="display: <?=$error_nick?>" class="singup-error">Имя пользователя занято или заполнено неверно:</div>
4.         </td>
5.     </tr>
6.     <tr>
7.         <td width="170">Имя пользователя:<font color="#FF0000">*</font></td>
8.         <td><input type="text" name="su[nick]" maxlength="20" value="<?=$val_nick?>" /></td>
9.         <td><span class="singup-info">Ваше уникальное имя на сервисе. Не более 20 символов, только латинские буквы и цифры.</span></td>
10.     </tr>

display или none или block.
:Р

 

неее я сделаю большую, страшную, красную табличку с ошибкой
пока так error_panel:

HTML:

1. <span style="color:red">{error}</span>

 

что то я в замешательстве...
пишу кусок для восстановления пароля, вводишь свой мыл(он же логин)
пароль находится в зашифрованном виде, не отправлять же его так на почту
а если высылать новый, то допустим кто то знает мой мыл, он может менять мне пароль постоянно, он конечно будет приходить новый на почту, но ведь это же никуда не годится
Может быть секретный вопрос добавить?