Weblabor

Az egyszerű prospektus alapú webhelyektől eltekintve szinte nincs olyan oldal, ahol ne lenne felhasználó regisztrációra szükség. Sokan sokféleképpen közelítik meg az új tagok bevonására szolgáló felület és a háttérprogram kialakítását. Amikor egy felhasználót szeretnél regisztrálni, rengeteg mindenre kell(ene) odafigyelned. Ebben a cikkben ötleteket próbálok nyújtani, hogy hogyan a legcélszerűbb az adatokkal bánni, melyeket valószínűleg egy adatbázisban fogod tárolni, mivel a normál állományok nem elég biztonságosak. A PHP és MySQL kombinációja megfelelő eszközöket ad a kezedbe akár egy komplett portál megírásához is.

A regisztrációs űrlapot bontsd szét több lapra! A felhasználók nem szeretnek egy hosszú űrlapot kitölteni, jobban preferálják, ha először csak a legszükségesebb adatokat kérik be tőlük. Az első oldalon semmi mást ne kérj be tőle, csak a nevét, felhasználónevét és jelszavát! Az űrlapot elküldve generálj egy levelet, ami megerősítést kér a regisztrációról. A levélben csak a felhasználónév szerepeljen, jelszó semmiképpen sem. Ha a felhasználó a megadott módon megerősíti a regisztrációs igényt (amit a levélben kell elmagyaráznod neki), küldd el a jelszavát, amit generáltál, de a felhasználónevet ne! Ennek roppant egyszerű oka van. A levelek nem ritkán 5-10 szerveren is átmehetnek, mire a valódi címzett megkapja őket. Warez oldalakról ingyen letölthető programokkal szinte bárki elcsípheti a leveled. Ha a felhasználónév és a jelszó együtt szerepel egy levélben, semmi sem gátolja meg az illetéktelen behatolásban.

Következő lépésként léptesd be a felhasználót, majd adj neki lehetőséget, hogy megadjon magáról pár személyes adatot. Ha a portálod üzleti jellegű (például internetes bolt), tedd ezt neki kötelezővé. Ezt ne Javascripttel ellenőrizd, mert azt nem minden böngésző kezeli (verziója miatt, vagy esetleg le van tiltva). Használd erre is a PHP-t!

Az űrlapokkal van egy másik probléma is. Mit kezdj a ki nem töltött, de nem feltétlenül szükséges mezőkkel? A tartalma legyen "0"? Vagy netán ""? Inkább hozz létre egy külön cellát, amiben megadod, hogy a kérdést már megválaszolta-e! Ha nem, a következő belépésnél, vagy a saját adatait tartalmazó aloldalon tedd lehetővé, hogy megadja! Kérdezz rá, hogy a későbbiekben felhívhatja-e a figyelmét a kérdés megválaszolására, vagy nem. Ha nem, tedd lehetővé, hogy az adatait tartalmazó oldalon megválaszolhassa a kérdést, de külön ne zaklasd ezzel!

Térjünk vissza az előző problémához! Az illetéktelen belépést nem csak a felhasználónév és a jelszó nem egyszerre történő elküldésével tudod megakadályozni. Gondolnod kell arra is, hogy a te adatbázisodat próbálják meg feltörni. A jelszavakat ezért mindig titkosítsd! Használhatod az md5() függvényt is, vagy írhatsz saját titkosító algoritmust is. Utóbbit nem javaslom, mert nem tudhatod, hogy milyen karaktereket ad meg. Saját függvény használata esetén az algoritmusodnak pontosan meg kell egyeznie a megadható karakterek számával. Tehát ha csak az angol ABC betűit engedélyezed, akkor 2×26=52 (azért 2×, mert meg kell különböztetni a kis és nagy betűket is) karakterből kell állnia az algoritmusnak. Ha saját függvényt használsz, korlátozd a megadható karaktereket! Sose engedélyezd az ékezetes betűket felhasználónevekben és jelszavakban!

Fontosnak tartom azt is, hogy figyelmeztesd a felhasználót abban az esetben, ha a felhasználóneve és az e-mail címének @ előtti része (a postafiókjának azonosítója) megegyezik. Ha kalózkodni akarnék, elcsípném a jelszót tartalmazó levelet, és elsőként az e-mail postafiókjának nevével próbálnék meg belépni. Hívd fel a felhasználó figyelmét, hogy ez nem biztonságos, és adj lehetőséget a módosításra!

Hogyan továbbítsd az adatokat oldalról oldalra? Használj rejtett mezőket, vagy sütiket? Egyiket sem! A rejtett mezők egy idő után átláthatatlanok a programozás során, ráadásul ha félbehagyja az űrlap kitöltését, elvesznek az adatok. A sütik nem biztonságosak, ezért a munkamenetet kezeld sessionnel! Sütibe legfeljebb a session azonosítóját tedd, de azt minden oldalon ellenőrizd le! Ha nincs referrer, de van session, akkor a sessiont kézzel adta meg. Töröld a munkamenetet, és léptesd be!

Tekintsünk bele ennek formai megvalósításába!

A kérdéseket mindig ugyanabban a formátumban írd ki! Add meg, hogyan nézzen ki a kérdés, és mindig azt használd! A piros színt (#FF0000) lehetőleg ne használd, mivel ha a felhasználó színvak, nem fogja látni! Használd helyette a #FF3333-at! Ezt színvakok is el tudják olvasni, és piros a színe. Az űrlapot igényesen rendezd, használd a megfelelő cellaformázó parancsokat!

Ha az oldalad megkívánja, adj lehetőséget rá, hogy a felhasználód fényképet töltsön fel magáról! A feltölthető fájl méretét és típusát korlátozd! Ha csak fényképet engedsz feltölteni, korlátozd JPG-re és GIF-re a feltölthető fájlokat, és a mérete ne lehessen nagyobb 1000 Kbyte-nál. A képeket tárolhatod MySQL-ben is, de több értelmét látom, ha csak egy fájlnevet raksz az adatbázisba, a képeket egy külön, biztonságos könyvtárba helyezed. A getimagesize() függyvénnyel ellenőrizd a kép méretét, ha szükséges, készíts róla thumbnailt PHP-vel!

Az adatokat mindig ellenőrizd! Ne engedd, hogy betűt adjon meg, ha csak számokat tartalmazhat a mező, és fordítva. Vizsgáld meg, hogy a szükséges adatok valóban meg vannak-e adva, és azok helyesek-e (pl.: e-mail cím). Ha hibaüzenetet adsz bármilyen okból, az adatokat tartsd meg az űrlapban, de a hibásakat jól láthatóan jelöld meg és magyarázd el, mi velük a probléma. Sokan hagynák ott az oldalt, ha a figyelmetlenségük miatt újra ki kéne tölteniük az űrlapot. Adj lehetőséget a felhasználónév kivételével minden adat megváltoztatására, de ha az e-mail címét módosítja, ellenőrizd egy levéllel, hogy a cím valóban az övé-e. Generálj egy linket, amivel érvényesítheted az új e-mail címet! Csak a hitelesítés után tárold véglegesen az új e-mail címet.