Autenticazione in area privata con Php e MySQL

In questo articolo parliamo dell'autenticazione degli utenti per aree private, fornendo un esempio di area amministrativa per la gestione dei contenuti di un sito.

Prima di cominciare a spiegare il codice, vi invito a leggere un po' di documentazione su php.net riguardante i cookie e le sessioni.
Gli script completi sono scaricabili qui (vi consiglio di farlo subito poichè spiegherò solo parte del codice).

Dopo queste piccole premesse, passiamo subito a vedere la struttura dell'applicazione:

Autenticazione
    |
    |-------- Directory: includes
    |        |
    |        |-------- File: auth.lib.php
    |
    |-------- File: common.php
    |
    |-------- File: config.php
    |
    |-------- File: index.php
    |
    |-------- File: logout.php
    |
    |-------- File: pagina.php

Nell'archivio scaricabile c'è anche un file di nome "table_data.sql" che contiene le istruzioni sql per la creazione delle tabelle nel db.
Entriamo nel dettaglio e cominciamo a vedere le tabelle del db che conterranno le informazioni per l'accesso:

File che contiene queste istruzioni: table_data.sql

CREATE TABLE `users` (
  `user_id` mediumint(8) unsigned NOT NULL auto_increment,
  `user_name` varchar(20) NOT NULL default '',
  `user_username` varchar(20) NOT NULL default '',
  `user_passwd` char(32) NOT NULL default '',
  PRIMARY KEY  (`user_id`),
  UNIQUE KEY `user_username` (`user_username`)
);

La tabella users contiene 4 campi
- user_id: L'ID univoco per l'indentificazione degli utenti
- user_name: Un nome per l'utente
- user_username: La username dell'utente che sarà utilizzata per verificare l'accesso all'area privata (è stato creato anche un indice di chiave univoca per questo campo)
- user_passwd: La password che l'utente utilizzerà per efftuare il login (un char(32) poichè conterrà la password criptata con la funzione MD5)

Naturalmente potete aggiungere altri campi a questa tabella con le informazioni dell'utente, ad esempio il cognome, l'e-mail, etc.
Mettiamo subito qualche utente nella tabella appena creata e creiamo la tabella per le sessioni:

INSERT INTO users (user_name, user_username, user_passwd) VALUES ('Mario', 'moon', MD5('test'));
INSERT INTO users (user_name, user_username, user_passwd) VALUES ('Fabio', 'upwd', MD5('test2'));
INSERT INTO users (user_name, user_username, user_passwd) VALUES ('Giuseppe', 'alliance', MD5('test3'));

CREATE TABLE `sessions` (
  `session_id` char(32) NOT NULL default '',
  `session_user_id` mediumint(8) NOT NULL default '0',
  `session_start` datetime NOT NULL default '0000-00-00 00:00:00',
   PRIMARY KEY  (`session_id`),
   KEY `session_user_id` (`session_user_id`)
);

3 campi per la tabella sessions, nel dettaglio abbiamo:
- session_id: ID univoco per identificare la sessione
- session_user_id: l'ID dell'utente preso dalla tabella users
- session_start: La data e l'orario di creazione della sessione

Ora passiamo a spiegare i file dell'applicazione, cominciamo dal file config.php

<?php
define('HOST', 'host');
define('USERNAME', 'username');
define('PASSWD', 'password');
define('DB_NAME', 'test');

define('COOKIE_NAME', 'user_data');
define('REDIRECT_PAGE', 'pagina.php');
define('LOGIN_PAGE', 'index.php');
?>

Come vedete in questo file sono definite alcune costanti, le prime 4 sono i parametri per la connessione e selezione del db, le restanti 3 sono configurazioni per la nostra applicazione, il nome del cookie, la pagina di redirect (nel caso di accesso consentito dopo il login) e infine la pagina con la form di login.

Vediamo il file common.php:

<?php
include('config.php');
include('includes/auth.inc.php');

$link = @mysql_connect(HOST, USERNAME, PASSWD)
or die('Connessione al database fallita.');

@mysql_select_db(DB_NAME)
or die('Selezione del database fallita.');
?>

Questo file include il config.php (che abbiamo appena visto) e il file auth.lib.php che è la libreria con le funzioni di autenticazione.

Brevemente vi spiego gli altri file per poi passare alle funzioni più importanti contenute nel file auth.lib.php.

- index.php: Contiene la form di login e richiami a funzioni della libreria di autenticazione
- logout.php: richiama la funzione per la distruzione del cookie di sessione
- pagina.php: una semplice pagina protetta che viene visualizzata dopo un corretto login

Siamo arrivati all'ultimo file "auth.lib.php", che contiene 5 funzioni:

<?php
function auth_check_user_login($username, $passwd)
{
    /* .... */
}
?>
Questa funzione viene richiamata dopo il submit della form di login, infatti vediamo che richede i parametri username e passwd per effetuare una query di verifica sul database. Se la query va a buon fine e l'utente si è autenticato correttamente questa funzione ritorna true e viene richiamata la funzione successiva.

<?php
function auth_session_begin($user_id)
{
    /* .... */
}
?>
Viene utilizzata per iniziare la sessione spedendo un cookie e inserendo nella tabella sessions la nuova sessione

<?php
function auth_generate_sid()
{
    /* .... */
}
?>
Viene utilizzata da auth_session_begin() per la creazione dell'ID univoco di sessione

<?php
function auth_check_user()
{
    /* .... */
}
?>
Utilizzata in tutte le pagine che vogliamo proteggere, se l'utente è loggato recupera i dati dalla tabella users (ad esempio il suo nome), se invece non è loggato viene rediretto sulla pagina di autenticazione (nel nostro caso index.php) per effetuare l'autenticazione.

<?php
function auth_session_destroy()
{
    /* .... */
}
?>
Usata solo nel file logout.php, come ci suggerisce il suo nome serve ad eliminare la sessione.

Conclusioni
Si può lavorare ancora su questa applicazione per renderla più completa. In questo esempio ho cercato di renderla di facile personalizzazione e comprensione in modo da faciltarne l'utilizzo anche agli utenti meno esperti.