使用 CodeIgniter 框架快速開發 PHP 應用(六)

原文: 使用 CodeIgniter 框架快速開發 PHP 應用(六)

簡化使用 Session 和安全

理論說得夠多了! 如今讓咱們開始寫咱們本身的應用。 在這一章裏，咱們將會大體描述一下咱們要創建的一個應用系統，並且咱們分析一些會影響到網站系統的的基本問題也就是會話管理和安全。

在這一章，咱們將會見到:

。如何使你的網頁安全

。如何使用 CI 的會話類

開始用 CI 設計一個實際的網站

咱們已經看過 CI 安裝時生成的welcome頁以及它內部動做中控制器文件和視圖文件的動做流程。 實際上這就是CI的'Hello, World!'。

從前，業餘者寫的發燒友網站都使用開放源代碼系統，並且老是被一些所謂的大公司當作是低檔的玩藝兒。

不過如今，套用一句老話，時代不一樣了。不少大公司開始使用開放源代碼技術。 舉例來講，美國太空總署和美聯社使用MySQL 、美國審計處和雅虎正在使用 PHP 的應用。 並且我相信規模適中，具備高度靈活性的動態網站正在迅速增加。當大公司瞭解到那些他們一直使用的商業技術沒法新的需求後，他們引進規模適中，具備高度靈活性的運用代替原來的系統

CI 無疑是設計開發適度規模，具備高度靈活性的利器。它手把手地教你規劃網站並作出一致而可靠的運用。

爲了示範 CI 的靈活性,讓咱們開始創建一個應用。

從新說一下個人需求，我要讓這個網站爲我解決個人問題。 我正維護着一些網站, 有些是我本身的，有些是個人客戶的。我須要對這些網站進行平常維護,測試它們, 確保它們運轉良好。大部分的工做內容是重複性的，我能夠僱人來作這件事，可是寫一個網站會是比較合理的方案，它能自動化的完成工做，無論白天仍是黑夜。

所以個人需求是:

1. 不須要人工干預，管理一個或更多的遠程網站

2. 按期檢測遠程網站

3. 生成報表, 提供網站的細節和測試結果

若是ISP容許的話，我想設定網站能運行Cron（注：linux下的計劃任務軟件），若是不容許, 我會本身一天兩次或者1小時1次地運行, 讓它運行一個預設的測試方案。

我不想要知道細節，除非什麼東西出現故障(而後我想要讓它發送一封電子郵件告訴我出院什麼事，在哪一個環節出的事)，而後我想要可以打印出管理報告讓個人客戶意識到我一直作按期的檢查, 並正常地運行他們的網站。

爲了不使代碼太長和過於重複，所以在這本書裏的代碼並不足夠安全, 所以請記住不用在實際應用環境中使用這些代碼。 這一章涉及了針對未認證用戶的確保網站安全的通常概念其餘的PHP安全問題，本書沒有涉及。

在現階段，咱們能夠看到CI實現方式與通常動態網站的方式類似，所以讓咱們先放下設計這個主題，從一些很是基本概念談起。

關於網站

任何的網站是一個各種應用的集合，並且它們彼此之間應該可以交互。咱們在第 3 章看到， CI 使用URL進行連接。典型的URL以下表:

基本url              http://www.mysite.com. 這是最基本的URL，用戶用它定 
                    位你的網站。用戶不須要知道URL的其他部分，網站會在須要時自動加上其它部分

index 文件           第一部分: index.php
                    這是CI的的網站主文件

class               第二部分：start
(或稱爲controller)   若是沒有設置控制器，CI會從config文件中尋找默認控制器

method              第三部分：assessme
(或稱爲函數)          若是沒有設定函數，CI會使用本控制器中的默認函數，找不到就
                    重定向到404頁

增長的任何的叄數       第四部分：fred 
                    傳遞給函數的參數
                    第五部分: 12345, 第六部分: Hello, 等等。



所以, 在start控制器中調用accessme函數，並傳入fred,12345兩個叄數,你的網址將會是:

http://www.mysite.com.index.php/start/assessme/fred/12345


系統會查找start.php, 其中有一個Start類，它的內部有一個accessme方法，須要傳入兩個參數，如今傳給這兩個參數的值分別是fred和12345。一個這樣的URL能夠調用你網站上任何一個控制器中的任何功能。

爲了體會它如何工做,讓咱們創建咱們網站的第一個頁面。咱們將會創建叫作Start的控制器，並且把它設定爲默認控制器。

好吧, 首先, 由於安裝CI時, 它指定welcome爲默認控制器，所以我須要改變這個設置。 

CI默認的路由存放在下列路徑

/system/application/config/routes

當前設置爲：

$route['default_controller']="welcome";

咱們把它改爲：:

$route['default_controller']="start";

(記住, 若是你的默認控制器中沒有一個index方法，若是使用基本URL，系統會顯示404錯誤)

如今我須要編寫個人start控制器。 記得基本的格式:

<?php
class Start extends Controller {
     function start() {
         parent::Controller();
     }
     
     function assessme($name, $password) {
         if ($name =='fred' && $password == '12345') {

             $this->mainpage();
     }    
     }
    
}
?>

把這個文件保存爲/system/application/controllers/start.php。

第二行告訴你這是一個控制器。 而後構造函數裝載父控制器構造方法。 assessme函數須要二個變量 $name和 $password。 CI(從 1.5 版開始) 自動分配URL的相關部分做爲叄數, 所以 fred 和 12345 將會變成那 $name和 $password。

所以, 若是咱們鍵入上面的網址，若是用戶存在，密碼無誤，我會被重定向到mainpage()函數。 咱們會在start控制器中增長這個函數。(若是用戶檢測不能經過，系統運行結束.)

對於那些過去一直使用過程式編程而不是OO編程的人來講，請注意一個類中的方法必須被表示成 $this->xxxx。 所以, 若是我調用start控制器裏的mainpage()函數，我必須這樣表示$this->mainpage(). 不然，CI會找不到它。

固然, 通常用戶不會這樣定位一個網站：

http://www.mysite.com.index.php/start/assessme/fred/12345.

他們僅僅輸入：

http://www.mysite.com

並且但願網站給出導航條。 所以讓咱們讓這裏開始。

一般, 你在網站上看到的第一個頁面是登陸頁面。 所以讓咱們來作一個。 首先，我把一個新的函數加入start控制器。我想要網站默認調用這個函數，所以，我將它命名爲index().

    function() {

      $data['mytitle']    = "My site";
          $data['base']       = $this->config->item('base_url');
          $data['css']          = $this->config->item('css');
          $data['mytitle']    = "A website to monitor other websites";
          $data['text']       = "Please log in here!";
                 
          $this->load->view('entrypage',$data); 
    }

它調用視圖：entrypage。 視圖中包含一個表格，這個表格讓用不着戶輸入用戶名和密碼。 HTML 表格須要指定一個處理$_POST的函數，咱們已經把它放在start控制器中,就是 assessme() 。用HTML代碼表示，在咱們的視圖上的表格應該是:

<form method="post" action=" http:/www.mysite.com/index.php/start/assessme"/>

我已經稍稍解釋了 assessme函數，它接受一個用戶/密碼組合，我須要在一個數據庫中查詢它。爲了要使代碼更結構化, 咱們要引入一個函數叫作checkme()。

因此，你會見到， assessme() 調用 checkme()，Checkme()在數據庫裏檢查用戶是否存在，密碼是否有效，而後把'是' 或 '不' 返回給assessme()。若是返回是, assessme() 調用另一個函數，mainpage(),返回一個視圖。

注意代碼模塊好的好處。 每一個函數扮演一個角色。 若是我須要改變系統檢查密碼的方式，我只須要改變 checkme() 函數。若是我須要修改頁面，我只要修改 mainpage() 函數。

讓咱們看看代碼結構以及各部分如何交互。 (注意爲了要使例子簡潔，咱們不校驗用戶的輸入。 固然，這不會形成問題， CI 的表格類自動爲輸入數據「消毒」。

/*receives the username and password fromthe POST array*/
   function assessme() {
       $username = $_POST['username'];
       $password = $_POST['password'];

       /*calls the checkme function to see if the inputs are OK*/
       if ($this->checkme($username,$password)=='yes') {
           /*if the inputs are OK, calls the mainpage function */
           $this->mainpage;()
       }
       /*if they are not OK, goes back to the index function, which re-presents the log-in screen */
       else
       {
           $this->index();
       }
   }
   /*called with a u/n and p/w, this checks them against some list. For the moment, there's just one option. Returns 'yes' or 'no' */

   function checkme($username='', $password='') {
      if ($username == 'fred' && $password =='12345') {
          return 'yes';
      } else {
          return('no';
      }

   }

在第 5 行-6 上, assessme() 接收來自表格的$_POST數組，包含如下一些數據:

[username] => fred 
[password] => 12345

assessme() 函數把這二個變量傳遞給另外一個函數checkme()。該函數檢測具備密碼12345的用戶fred是不是合法的用戶, 若是他們是, 它返回 'yes'. 顯然地，在一個真正的網站上，這會更復雜。 你或許會爲有效的用戶名/密碼作數據庫查詢。 把它定義成一個單獨的函數意味着我能夠測試個人代碼的其它部分, 並在稍後改進 checkme()函數。

若是使用者名稱和密碼是一個有效的組合， assessme()函數調用另外一個函數 mainpage(),讓用戶進入網站。不然，它返回到index()函數-即，再次顯示登陸窗口。

下一個問題是如何處理狀態。換句話說,當進入到另外一頁面時如何識別這是一個已登陸的用戶。

安全/會話: 使用另外一個 CI 類

若是我想要創建一個會話機制確保未受權用戶沒法存取個人文件, 須要多少代碼?

英特網經過一系列請求工做。 你的瀏覽器給個人服務器發請求，要求某一特定頁。 個人瀏覽器把該頁處理後返回你的服務器。服務器處理後向瀏覽器發出另外一頁面，你再按下一個超連接,對個人服務器提出新的頁面請求。如此而已。

英特網是'沒有狀態的'-就是, 你的瀏覽器對個人服務器作的每一個請求都被當作一個單獨事件，HTTP協議沒有辦法把你的請求和任何其餘的請求聯繫起來。

若是你想要你的網站頁面與頁面之間創建聯繫，你必須管理「狀態」，要服務器記得哪些請求來自你的瀏覽器, 須要作一些特別的處理。

PHP 提供管理狀態的二種辦法: 使用cookie、或使用會話。PHP的session自動地檢查你的瀏覽器是否接受cookie. 若是不接受，它會使用會話ID的方法，這個ID直接經過URL進行傳遞。

cookie是小塊的數據由服務器發送到你的瀏覽器。 瀏覽器自動地保存它。 一旦保存了cookie，當瀏覽器嘗試訪問網站的時候，網站就會檢查是否存在cookie。 若是它找到正確的cookie，它能讀取它裏面的數據適當地配置它自己。可能關閉特定頁面，或顯示你的我的數據。


由於一些人設定他們的瀏覽器不接受cookie, PHP 提供其它變通的方法。 每次當瀏覽器請求訪問時，網站產生 '會話ID', 把它發送到瀏覽器端，當瀏覽器發送下個請求時把這個ID加入URL，因此網站可以識別瀏覽器。

CI 有一個會話類來處理會話相關工做。 事實上，它大大減小了編碼量。咱們在上一章學習到 CI 有各類各樣的library，大大簡化了PHP的編程。 這些就是框架的核心: 集成大量代碼,爲你提供各類強大的功能。你要作的只是使用它們，而沒必要關心他們是如何運做的。做爲結果，你的應用使用了最專門的代碼，而你卻不須要本身去編寫它們!

若是你想要在你的控制器內或模型中使用某個類內的函數，你必定記得首先要裝載這個類，(有些類, 好比 config 老是自動地被裝載，這是爲何咱們不須要在代碼中裝載它的緣由。) 

你能夠這樣很簡單地裝載library:

$this->load->library('newclass');

一般，把這一行放入你的控制器或模型的構造函數中。

若是你認爲你會在每一個控制器中使用某個library，你能象config類同樣自動地裝載它。找到/system/application/config/autoload文件, 增長你想自動裝載的類名:

$autoload['libraries'] = array();

所以它看起來像這同樣:

$autoload['libraries'] = array('newclass',' oldclass');

在這裏，咱們首先要用到session類，這幫助你維持狀態, 並且能夠識別用戶。 作到這一點至關簡單。下面列出加強的assessme()函數:

   function assessme() {

      $this->load->library('session');

      $username = $_POST['username'];
      $password = $_POST['password']; 
    
   if ($this->checkme($username, $password) == 'yes') {
       $this->mainpage;()
   } else {
       $this->index();
   }    
}

(你能夠看到，在函數一開始就裝載session library，可是一般，咱們將會在控制器的構造函數中裝載它，所以，在這一個類中的其它函數均可以使用這個類。) 

當這個類裝入後，當即經過它自己強大的功能爲你提供對會話的讀取，建立，修改等功能。

好吧, 坦白地講, 不只僅就一行代碼那麼簡單。 你必須首先修改 config 文件, 告訴會話類你想要它作的。

檢查你的system/application/config/config.php 文件，你會找到像這樣的一個部分:
--------------------------------------------------------------------------
| Session Variables
|--------------------------------------------------------------------------
|
| 'session_cookie_name' = the name you want for the cookie
| 'encrypt_sess_cookie' = TRUE/FALSE (boolean).  Whether to encrypt the cookie
| 'session_expiration'  = the number of SECONDS you want the session to last.
|  by default sessions last 7200 seconds (two hours).  Set to zero for no expiration.
|
*/
$config['sess_cookie_name']          = 'ci_session';
$config['sess_expiration']           = 7200;
$config['sess_encrypt_cookie']       = FALSE;
$config['sess_use_database']         = FALSE;
$config['sess_table_name']           = 'ci_sessions';
$config['sess_match_ip']             = FALSE;
$config['sess_match_useragent']      = FALSE;

如今，肯定 [sess_use_database] 被設定成FALSE。

保存設置，如今，每次當你的客戶登入網站，網站會在你的機器上保存一個cookie,包含下列的數據:

。CI生成的一個惟一的SESSION ID，這是CI爲這個會話生成的任意組合的字符串。

。使用者的 IP 地址

。使用者的用戶代理數據 (瀏覽器數據的最初 50個字符)

。最大有效時間

若是你設定 sess_encrypt_cookie 爲FALSE, 你能在你的瀏覽器上看到cookie的內容：(它部分被編碼了，可是你能辨認出來):

ip_address%22%3Bs%39%3%22127.0.0.1%22%3Bs%310%3A22

包括使用者的URL, 本例爲127.0.0.1). 若是你設定 sess_encrypt_cookie 爲TRUE, cookie被加密, 只是一行無心義的代碼。 瀏覽器不能識別它，固然使用者也沒法修改它。

當使用者發出另外一個頁面請求時, 網站會檢查會話ID是否已經以cookie的形式保存在用戶的機器裏，若是有，這會做爲一個已經存在的會話的一部分，若是沒有，就會創建一個新的會話。記得在全部的其它控制器上加載會話類。CI將做一樣的檢查。我必須作的只是告訴每一個控制器當沒有cookie時該如何運做。

使會話更安全

這原本不會形成安全問題。任何訪問網站的用戶都會開始一個會話。代碼只是判斷他們是不是一個新用戶。 避免未認證的用戶訪問某些頁面的一個方法是若是他們已經登陸，就在cookie中加入一些信息，所以咱們能夠對此進行驗證。一旦用戶輸入正確的用戶名和密碼一次，就會在cookie中被記錄，當發出新的請求時，會話機制會檢查cookie，若是是已登陸的用戶，就返回用戶請求的頁面，如是否是，就返回登陸畫面。

把信息加入cookie很容易。 在個人 assessme() 控制器中，若是密碼和使用者名稱驗證經過，加上以下代碼:

if($this->checkme($username, $password)=='yes') {
   $newdata = array(
                    'status' => 'OK',
                    );
   $this->session->set_userdata($newdata);
   $this->mainpage();
} 

這樣會把$newdata數組中內容-上例中只有一個變量-加入到cookie中。如今，每當密碼/用戶名組合是可接受的， assessme() 將會把 'OK' 加入cookie，並且咱們能夠把這些代碼加到每一個控制器中:

   /*remember to load the library!*/
   $this->load->library('session');

   /*look for a 'status' variable in the contents of the session cookie*/
   $status = $this->session->userdata('status');

   /*if it's not there, make the user log in*/
   if(!isset($status) || $status != 'OK')
       { /*function to present a login page again…*/}

       /*otherwise, go ahead with the code*/

這樣，你在你的網站周圍構建起安全的地基。 你能夠很容易地使它變得更精細。 舉例來講，若是你的部分用戶有更高級的權限, 你能夠在cookie中保存了個存取級別碼，而不是隻放進一個「OK」，你能用這個進行更細緻的權限調控。

在一個cookie中存放明碼數據會比較糟糕，由於用戶能夠打開cookie並看到它的內容,固然也能夠很容易地修改它。所以使用CI加密cookie會是一個很好的辦法。還有，你能夠在數據庫中創建一個用戶表，在用戶登陸之後修改用戶表的登陸狀態，在用戶表中維護一些權限屬性，每次訪問時，從數據庫的用戶表中讀取權限信息，也是一個比較好的作法，若是結合緩存技術，就會解決系統的性能問題。

在你的數據庫中保存會話數據很是簡單。 首先，建立數據庫表。 若是你正在使用 MySQL, 使用這一 SQL 語句:CREATE TABLE IF NOT EXISTS  `ci_sessions` (session_id varchar(40) DEFAULT '0' NOT NULL,ip_address varchar(16) DEFAULT '0' NOT NULL,user_agent varchar(50) NOT NULL,last_activity int(10) unsigned DEFAULT 0 NOT NULL,status varchar(5) DEFAULT 'no',PRIMARY KEY (session_id));而後，修改在system/application/config/database.php 文件中的鏈接叄數告訴 CI 數據庫在哪裏。詳細介紹參見第 4 章若是工做正常的話, 當你登陸或退出時，在你的數據庫表中增長了相關的數據。若是你在一張數據庫表中儲存會話, 當用戶登陸到你的網站，網站會查找cookie, 若是它找到了，就會讀取會話ID，並用這個ID去匹配數據庫表中保存的ID。你如今擁有一個強健的會話機制。 而這一切只須要一行代碼！一點聲明，PHP自己的會話類在用戶關閉cookie功能時可以應付。（取代生成cookie，它把會話數據加入URL) CI 類不會這樣作，若是使用CI，一旦用戶禁止cookie，他就不能登陸到你的網站。這方面須要加強功能。 但願Rich將會很快升級CI。安全注意到：會話類會自動地保存關於訪問者的 IP 地址和使用者的資料。你可使用一些加強的安全措施。經過修改config文件的二處設置可增長安全性:。 sess_match_ip: 若是你設定這個參數爲TRUE, 當它讀取會話數據時，CI 將會嘗試相配使用者的 IP 地址。 這將預防使用者使用'搶'來的cookie信息。可是，有些服務器 (ISP和大公司服務器) 可能存在不一樣 IP 地址上的相同使用者登陸的請求。 若是你設定這個參數爲TRUE，可能會給他們形成麻煩。。 sess_match_useragent: 若是你設定這爲TRUE, 當讀取會話數據的時候， CI將會試着匹配使用者代理。這意謂試着「搶奪」會話的人還須要匹配真正用戶的user agent設置。 它使「搶奪」變得稍稍有些困難。CI 也有一個 user_agent 類, 你能夠這樣裝載:$this->load->library('user_agent');一旦裝載, 你能要求它返回訪問你網站的瀏覽器和操做系統的各類信息, 而無論它是一個瀏覽器,手機或機器人。 好比，若是你想列出叄觀你的網站的機器人，你能夠這樣作：$fred = $this->agent->is_robot();if ($fred == TRUE)    {$agent = $this->agent->agent_string();/*add code here to store or analyse the name the user agent is returning*/}類經過裝入後開始工做, 與用代理，瀏覽器，機器人和其它的類型的數組做比較，這個數組存放在system/application/config/user_agents。若是你願，你能夠容易開發出使你的網站鎖定特定機器人，特定瀏覽器類型的功能。 不過，記得一個攻擊者很容易寫出一個代理類型，並返回他想要扔給你的那種類型。所以，他們能容易地假裝成一般的瀏覽器。 許多機器人,包括象CI 的 user_agents 數組已列出的 Googlebot,是'品行端正的'。 這意味着若是你設定你的 robots.txt 文件排除他們，他們將不會強行攻擊。沒有容易的方法去阻擊一個不知名的的機械手，除非你預先知道他們的名字!在 CI框架中 ，會話機制保存那發出請求的 IP 地址，所以你可使用這個功能維護一個網站的黑名單。能夠用以下代碼取回來自會話的 IP:/*remember to load the library!*/   $this->load->library('session');/*look for an 'ip_address' variable in the contents of the session cookie*/$ip = $this->session->userdata('ip_address');所以你能針對黑名單做相應的安全處理，好比拒絕登陸。你也能夠用CI 的會話機制限制來自重複請求的損害-像是一個機器人經過重複地請求網頁來使你的網站超載。 你也可使用這一個機制處理 '字典'攻擊，即一個機器人不斷重複嘗試數百或者數以千計的密碼/用戶名組合直到它找到正確的一組。由於 CI 的會話類保存每一個會話的last_activity ，因此你能作到這一點。 每次，當網頁被請求時, 你能檢查多久之前這個IP地址的用戶發出一請求，兩次請求的間隔若是不正常，你能夠終止會話，或放慢響應的速度。摘要咱們已經概略介紹了咱們想要創建的一個應用, 和幾乎全部應用都須要解決的問題：會話管理和安全保證。爲了作到這一點，咱們已經學習了CI會話類的一引發細節，並且見到它如何生成會話記錄和在訪客的瀏覽器中生成cookie。當後續的請求發生時，你能夠讀取cookie對響應進行控制。