Login & Authetifizierung

Zur Vorbereitung kannst du dir das loginformular.zip herunterladen und im Testserver speichern. Die Verarbeitung machst du in der gleichen Datei. 

1. Erstelle nun einen PHP Block oberhalb des HTML und eröffne als erstes den Sessionzugriff:
   

   <?php
   session_start(); // Sessionzugriff
   ?>

2. Betrachte nun das HTML. Es enthält schon ein wenig PHP-Logik. Diese zeigt klar auf was das Ziel des Scripts sein sollte: wenn ein Benutzer eingeloggt ist, soll er eine Willkommensnachricht und einen Logout Button sehen, sonst wird ihm das Loginformular angezeigt. Hierfür soll während dem Loginprozess und bei der Prüfung, ob der User eingeloggt ist, die Variable $isLoggedIn entweder true (eingeloggt) oder false (nicht eingeloggt) erhalten. Ist jemand eingeloggt, wird er mit $username begrüsst - es gilt also, den Benuzternamen in dieser Variablen zur Verfügung zu stellen. Ausserdem gibt es auch die Variablen $hasError und $errorMessages, die du schon von der Formularvalidierung kennst. Du kannst diese Variablen gleich zu beginn initialisieren mit einem Anfangswert:
   

   $isLoggedIn = false;
   $username = '';
   $hasError = false;
   $errorMessages = array();

3. Erstelle ebenfalls am Anfang Variablen für Benutzernamen und Passwort - da du keine Datenbank abfragst in dieser Übung, erstellen wir "Dummy credentials".
   

   // Dummy credentials
   $valid_username = 'Terry';
   $valid_password = 'test1234';

4. Prüfe nun (unterhalb der Variablen) ob das Loginformular verarbeitet werden soll. Dies soll nur geschehen, wenn der Besucher noch nicht eingeloggt ist, aber Formulardaten per POST gesendet hat.

5. if (!$isLoggedIn && $_SERVER['REQUEST_METHOD'] == 'POST') {
       // Loginprüfung / Loginprozess kommt hier hin
   }

6. Prüfe nun die Logindaten aus POST, indem du sie mit den gespeicherten Dummydaten vergleichst, und wenn dies korrekt ist, schreibe den Usernamen ins Session Array. So kannst du später den Benutzer begrüssen.
   

   if ($_POST['username'] === $valid_username && $_POST['password'] === $valid_password) {
       // Name in Session schreiben für spätere Begrüssung
       $_SESSION['username'] = $valid_username;
   }

7. Füge nun noch ein Fehlerhandling hinzu für den Fall, dass die Logindaten nicht korrekt sind. In diesem Fall braucht es weder Validierung noch Bereinigung. Deine komplette Loginprüfung sieht dann so aus:
   

   if ($_POST['username'] === $valid_username && $_POST['password'] === $valid_password) {
       // Name in Session schreiben für spätere Begrüssung
       $_SESSION['username'] = $valid_username;
   } else {
       $hasError = true;
       $errorMessages[] = 'Benutzername oder Passwort falsch';
   }

8. Damit du nun die Variablen im HTML nutzen kannst, um zu entscheiden, ob ein Benutzer eingeloggt ist, füge noch eine letzte Abfrage hinzu, bei der du den Benutzernamen in der Session abfragst. Schreibe diese Abfrage VOR der Loginprüfung, damit der ganze Rest gar nicht mehr ausgeführt wird, wenn dein Benutzer schon eingeloggt ist. Du überschreibst dabei die anfangs erstellten Variablen $isLoggedIn und $username einfach mit neuen Werten:
   

   // Prüfen auf einen eingeloggten benutzer
   if ( isset($_SESSION['username']) ) {
       $isLoggedIn = true; // Loginstatus ändern
       $username = $_SESSION['username']; // Usernamen aus Session auslesen
   }

9. Nun solltest du je nach Loginstatus das Formular oder eine Begrüssung sehen. Schreibe nun noch das Logout Skript. Hier könntest du mit den Funktionen session_unset() und session_destroy() die gesamte Session beenden (der Speicherplatz und die Daten werden gelöscht). Da deine Applikation aber vielleicht noch weitere Daten in der Session speichert, ist dies oft kein guter Weg. Nutze deshalb die möglichkeit, nur den für den Logincheck relevanten Eintrag aus der Session zu entfernen. 
   

   session_start(); // Zugriff auf die Session
   unset($_SESSION['username']); // username aus Session löschen

10. Zuallerletzt kannst du nach dem löschen des Benutzernamens noch auf die HTML Seite mit  dem Login zurück leiten mit einer Umleitung:
    

    header('Location: login.php'); // umleitung zu login.php
    exit(); // Abbruch des Skripts für alle Fälle

Validierung eines Loginformulars

Loginformulare sind die einzigen Formulare, deren User Input du kaum validieren musst. Denn es geht nicht darum, Daten in Empfang zu nehmen, sondern lediglich, diese gegen die schon gespeicherten zu prüfen. Logindaten sind entweder korrekt oder falsch, und du möchtest keine weiteren Hinweise geben, wenn etwas nicht korrekt ist (um nicht dem Hacker zu helfen). 

Zum Speichern des Passworts

Normalerweise gilt der Ansatz: Logindaten müssen sicher gespeichert werden und NIE IM KLARTEXT lesbar abgelegt werden. Für die Sicherheit wird eine Datenbank empfohlen, weil hier ohne Authentifizierung gar kein Zugriff möglich ist. Hast du jedoch eine ganz kleine Applikation, die tatsächlich nur einen einzigen Benutzer benötigt (Beispiel: Onepager deines Bruders für seine Hochzeit, er möchte lediglich Bilder hochladen können), kannst du dies - ganz nach dem "Quick&Dirty Ansatz" auch ohne Datenbank machen. Zum Schutz des Passwortes solltest du aber nicht auf Password Hashing verzichten, denn Passworte sollten weder im Klartext, noch wiederherstellbar abgelegt werden. Wenn du mehr wissen willst darüber, lese dir dazu diesen Beitrag über Password Hashing durch. 

Sessiondaten - was ist drin?

Du arbeitest hier wieder mit einem Super Global Array. Mach dir nicht die Mühe, dir die Session vorzustellen - nutze print_r() während dem Entwickeln, um genau zu sehen, wie deine Sessiondaten aussehen. Weil du im Laufe deines Scripts mit den Sessiondaten arbeitest, sollte print_r ganz am Ende deines Skripts stehen, gleich vor dem HTML.