COOKIES, SESSION, LOGIN, CRYPT

ארבע מחלקות סטטיות בתיקיית system/collections/ (api/core/collections/ בריפו) מטפלות בזהות גולש ובמצב בין בקשות: COOKIES כותבת ומוחקת עוגיות, SESSION עוטפת את סשן ה-PHP, LOGIN מנהלת כניסת משתמשי צד-לקוח מול הטבלה users, ו-CRYPT מצפינה מחרוזות. הדף הזה הוא הרפרנס; הסבר מושגי ודוגמאות שימוש מלאות ב-משתמשי צד-לקוח, COOKIES ו-SESSION ו-הצפנה וקידוד.

COOKIES#

כל העוגיות שהליבה כותבת נקראות CRM_<name>: הקידומת CRM_ נוספת אוטומטית בכל המתודות, ואתם מעבירים רק את <name>. הדומיין של העוגייה הוא . ואחריו הערך CONFIG::$base_domain (שווה ל-CONFIG_USER::$set_base_domain אם הוגדר, אחרת ל-HTTP_HOST). path הוא / ו-secure תמיד true.

משתנים סטטיים#

COOKIES::set()#

public static function set($ckiName, $ckiValue, $ckiHours = 0, $base_domain = true)

כותבת עוגייה רגילה ומעדכנת גם את $_COOKIE (כך שקריאה מיידית ל-get רואה אותה).

מחזירה את תוצאת setcookie (bool). התכונות: secure=true, httponly=false, samesite=COOKIES::$samesite.

COOKIES::set("last_seen", (string)time(), 24 * 30);   // עוגיית CRM_last_seen למשך 30 יום

COOKIES::set_secure()#

public static function set_secure($ckiName, $ckiValue, $ckiHours = 0, $base_domain = true)

כמו set() עם httponly=true ו-samesite=Lax קבועים. כך נכתבות עוגיית הסשן של האדמין (admin_session) ועוגיית ה-CSRF (admin_csrf). מחזירה bool.

COOKIES::get(), is_set()#

public static function get($ckiName)
public static function is_set($ckiName)

get מחזירה את הערך מ-$_COOKIE["CRM_<name>"] או false כשאין. is_set מחזירה bool על קיום המפתח.

COOKIES::kill()#

public static function kill($ckiName, $base_domain = true)

מוחקת את העוגייה (setcookie עם תוקף בעבר) ומסירה אותה גם מ-$_COOKIE. לא מחזירה ערך. חשוב: המחיקה לא שולחת secure/samesite, והדומיין חייב להתאים לזה שבו נכתבה העוגייה, לכן העבירו את אותו $base_domain שבו כתבתם.

COOKIES::set_hours(), set_secure_hours()#

public static function set_hours($name, $hours, $base_domain = true)
public static function set_secure_hours($name, $hours, $base_domain = true)

מאריכות עוגייה קיימת: אם is_set($name), קוראות את הערך וכותבות אותו מחדש עם $hours חדשות (דרך set או set_secure). תמיד מחזירות false, גם כשהצליחו, ולכן אל תסתמכו על ערך ההחזרה.

COOKIES::user_log(), user_log_details(), user_logout(), user_is_logged(), user_get_id()#

מנגנון הזדהות ישן לטבלת משתמשים כלשהי. לאתרים חדשים השתמשו ב-LOGIN שמחליף אותו.

public static function user_log($tableName, $id, $sessTime = 72)
public static function user_log_details($tableName, $userName, $pass, $sessTime = 72)
public static function user_logout($tableName)
public static function user_is_logged($tableName)
public static function user_get_id($tableName)

SESSION#

המחלקה SESSION ב-system/collections/SESSION.php עוטפת את סשן ה-PHP הרגיל ($_SESSION, קובץ ב-session.save_path). הליבה לא מגדירה שם סשן, פרמטרי עוגייה או handler משלה, כך שההתנהגות נקבעת מ-php.ini. היא אינה קשורה לסשן האדמין (CRM_adminPanel_sessions) ולא לסשן של LOGIN.

הליבה משתמשת בה לכמה דברים פנימיים: כתובת החזרה של טופס (frm_<form name> ב-Form.php), שאילתת השלמה אוטומטית של שדות (ac_<sessID>), ומטמון תשובת MISC::ip_info (ip_check).

SESSION::init(), close()#

public static function init()
public static function close()

init מתחילה סשן אם הוא לא פעיל (session_start()), close קוראת ל-session_write_close(). שתי המתודות נקראות מתוך שאר המתודות ואין צורך לקרוא להן בעצמכם.

SESSION::set()#

public static function set($key, $val)

שומרת ערך תחת $key ומחזירה true. אובייקט, מערך, bool או null מאוחסנים כ-serialize($val); מחרוזת או מספר שלם נשמרים כמו שהם. כל השאר (מערך, אובייקט, bool, null, מספר עשרוני) עובר serialize.

SESSION::get()#

public static function get($key)

מחזירה את הערך, או מחרוזת ריקה "" כשהמפתח לא קיים. כל ערך שנראה כמו מחרוזת serialize (MISC::IsSerialized) עובר unserialize אוטומטית, גם אם שמרתם אותו כמחרוזת רגילה.

SESSION::remove(), is_set(), destroy()#

public static function remove($key)
public static function is_set($key)
public static function destroy()

SESSION::set("cart", ["items" => [3, 5]]);   // נשמר כ-serialize
$cart = SESSION::get("cart");                // מערך
if (SESSION::is_set("cart")) SESSION::remove("cart");

LOGIN#

כניסת משתמשי צד-לקוח (אנשים שנרשמו לאתר, לא אדמינים). המחלקה ב-system/collections/LOGIN.php. העוגייה היא CRM_login_<table> (עם הטבלה ברירת המחדל: CRM_login_users) והיא נכתבת דרך COOKIES::set, כלומר לא HttpOnly ו-SameSite=None. הטוקן הוא MISC::encode(json_encode(["uid", "ip", "tbl", "time"])), וכל כניסה נרשמת גם בטבלה CRM_users_logins.

הטבלאות#

הטבלאות אינן נוצרות על ידי עדכון הגרסה ואינן מיוצאות מה-master. אתר שמשתמש ב-LOGIN יוצר אותן בעצמו (שמות הטבלה בלי הקידומת CRM_ כש-CONFIG::$db_prefix הוא CRM):

CREATE TABLE `CRM_users` (
  `id` INT NOT NULL AUTO_INCREMENT,
  `username` VARCHAR(255) NOT NULL,
  `password` VARCHAR(255) NOT NULL,
  `active` TINYINT(1) NOT NULL DEFAULT 1,
  PRIMARY KEY (`id`),
  UNIQUE KEY `uq_user` (`username`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;

CREATE TABLE `CRM_users_logins` (
  `id` INT NOT NULL AUTO_INCREMENT,
  `uid` INT NOT NULL,
  `token` TEXT NOT NULL,
  `ip` VARCHAR(45) NOT NULL DEFAULT '',
  PRIMARY KEY (`id`),
  KEY `idx_uid` (`uid`, `id`)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;

עמודות נוספות ב-users מותרות. ראו סכמת הטבלאות ו-כל הטבלאות.

משתנים סטטיים#

הגדירו אותם ב-application/includes/init.php (לפני שימוש).

אלגוריתמי סיסמה:

LOGIN::login_by_details()#

public static function login_by_details($username, $password, $sessTime = 24*7*30*12)

מנקה את שם המשתמש (trim, strtolower, DB::escape), מחפשת DB::get_val(LOGIN::$table, ["username" => ...]), בודקת את הסיסמה לפי LOGIN::$encryption, ואם תואמת קוראת ל-login_by_id. מחזירה את תוצאת login_by_id (bool של הכתיבה) או false כשהמשתמש לא נמצא או הסיסמה שגויה. ברירת המחדל של $sessTime היא 60480 שעות (כשבע שנים).

LOGIN::login_by_id()#

public static function login_by_id($id, $sessTime = 24*7*30*12)

מתחברת כמשתמש לפי id בלי בדיקת סיסמה (שימושי להתחברות אחרי הרשמה או דרך OAuth). נכשלת (false) כשאין שורה או כש-active == "0". אחרת: בונה טוקן, מכניסה שורה ל-CRM_users_logins (uid, token, ip), וכותבת את העוגייה login_<table> ל-$sessTime שעות.

LOGIN::is_logged()#

public static function is_logged()

true כשכל התנאים מתקיימים: קיימת עוגייה, הטוקן מפוענח ל-uid > 0 ו-tbl שווה ל-LOGIN::$table, ה-IP תואם (רק כש-$login_use_ip), והטוקן נמצא בין LOGIN::$max_devices הטוקנים האחרונים של המשתמש ב-CRM_users_logins (ממוינים לפי id DESC). כניסה רביעית מסלקת את הראשונה.

LOGIN::get_id()#

public static function get_id()

מחזירה את uid (int) של המשתמש המחובר, או false כשאינו מחובר (is_logged() כוללת את כל הבדיקות).

LOGIN::get_token()#

static function get_token()

מחזירה את ערך העוגייה login_<table> כמות שהוא, או false. הטוקן כולל נתונים מוצפנים בלבד, אבל אל תחשפו אותו.

LOGIN::logout()#

public static function logout()

מוחקת את העוגייה (COOKIES::kill) ואת שורת הטוקן מ-CRM_users_logins. אין ערך החזרה.

דוגמה מלאה#

// application/includes/init.php
LOGIN::$encryption  = "bcrypt";
LOGIN::$max_devices = 5;

// application/controllers/account.php
class account extends wz_controller
{
    function login()
    {
        PAGE::$cache_this_page = false;                       // אל תשמרו בקאש דף שמשתנה לפי משתמש

        if (!empty($_POST["username"]))
        {
            if (LOGIN::login_by_details($_POST["username"], $_POST["password"]))
                { header("Location: /account"); exit; }
            return $this->view("account/login", ["error" => 1]);
        }
        return $this->view("account/login", ["error" => 0]);
    }

    function index()
    {
        PAGE::$cache_this_page = false;
        if (!LOGIN::is_logged()) return "REQUIRE_LOGIN";      // ראו ROUTER ו-MODULE

        $user = DB::get_val("users", LOGIN::get_id());
        return $this->view("account/home", ["user" => $user]);
    }

    function register()
    {
        $this->load->library("bcrypt");
        $bc = new Bcrypt;
        $ins = DB::update("users");
        $ins->set_var("username", strtolower(trim($_POST["username"])));
        $ins->set_var("password", $bc->hash($_POST["password"]));
        $ins->set_var("active", 1);
        $ins->insert();
        $user = DB::get_val("users", ["username" => DB::escape(strtolower(trim($_POST["username"])))]);
        return $user ? LOGIN::login_by_id($user["id"]) : false;
    }
}

CRYPT#

הצפנה סימטרית כללית מבוססת AES-256-CBC, ב-system/collections/CRYPT.php. בניגוד ל-MISC::encode, ה-IV אקראי לכל הצפנה והערך עובר דרך JSON ולא serialize, ולכן הוא בטוח יותר לשימוש חדש.

CRYPT::set_secret_key()#

public static function set_secret_key($key)

מציבה את סוד ההצפנה. ברירת המחדל היא wizzocms, ערך שידוע לכל מי שקרא את הקוד. קראו לה ב-application/includes/init.php עם סוד אקראי ארוך, ייחודי לאתר, שנשמר מחוץ ל-git.

CRYPT::encode()#

public static function encode($data)

מצפינה כל ערך שניתן להמרה ל-JSON. null או מחרוזת ריקה מחזירים "". התהליך: מפתח = sha256(secret) בינארי; IV אקראי של 16 בתים; json_encode($data, JSON_UNESCAPED_UNICODE | JSON_NUMERIC_CHECK); openssl_encrypt (AES-256-CBC, פלט base64); והתוצאה היא base64url(IV . ciphertext) בלי padding (+/ מוחלפים ב--_, = מוסר), כך שמתאימה ל-URL ולעוגייה.

CRYPT::decode()#

public static function decode($data)

הפעולה ההפוכה. ערך ריק מחזיר "". מחזירה את הערך המקורי (מערך, מספר, מחרוזת) לאחר json_decode. כשהפענוח נכשל (מפתח שגוי, מחרוזת פגומה) מוחזר false.

CRYPT::set_secret_key("a-long-random-per-site-secret");

$token = CRYPT::encode(["order" => 4812, "exp" => time() + 3600]);   // מחרוזת base64url
$data  = CRYPT::decode($token);                                       // ["order" => 4812, "exp" => ...]
if ($data === false || ($data["exp"] ?? 0) < time()) { /* לא תקף */ }

MISC::encode ו-MISC::decode (בשימוש COOKIES ו-LOGIN)#

COOKIES::user_log ו-LOGIN מצפינות את הטוקן דרך MISC::encode/MISC::decode (ראו עזרי MISC). ההבדלים מ-CRYPT:

MISC::set_encrypt_secret_keys("<random 32+ chars, unique per site>", "<another random string>");
CRYPT::set_secret_key("<third random string>");

ראו גם#

• משתמשי צד-לקוח (LOGIN), COOKIES ו-SESSION, הצפנה וקידוד
• התחברות, סשנים ו-WIZZO ID לצד האדמין
• מודל האבטחה ו-צ'קליסט הקשחה
• MISC (רפרנס), CONFIG_USER