4. Peran atau role dari orang di dalam sistem, misal peran Anda di rumah yaitu sebagai Anak. Perlu ditekankan di komponen terakhir peran. Pada saat Anda berdiri di depan pintu rumah, saat mengetuk pintu, maka peran Anda adalah "TAMU" atau"GUEST". Setelah ibu Anda mengkonfirmasi diri Anda dan mengizinkan Anda masuk ke dalam rumah, maka peran Anda berubah menjadi "ANAK". Jika yang mengetuk pintu ayah Anda maka setelah diizinkan masuk perannya berubah dari "TAMU" ke "KEPALA KELUARGA". Peran inilah yang menentukan aksi apa yang boleh Anda lakukan terhadap sebuah benda. Aksi Aksi apa saja yang bisa Anda lakukan berdasarkan peran Anda sering disebut dengan hak akses.
1. CREATE TABLE `user` ( 2. `user_id` VARCHAR(40) NOT NULL , 3. `name` VARCHAR(50) NULL , 4. `password` VARCHAR(50) NULL , 5. `type` VARCHAR(20) NULL , 6. PRIMARY KEY (`user_id`) ) 7. DEFAULT CHARACTER SET = utf8 8. COLLATE = utf8_general_ci;
Perlu diperhatikan di tabel di atas ada satu kolom type, kolom type digunakan untuk mencatat/menentukan peran pengguna setelah berhasil login.
Pada bagian ini akan dimulai membuat kode php untuk membatasi hak akses. Seperti dijelaskan di atas otentikasi & otorisasi menyangkut 4 komponen. Jika dikaitkan dengan contoh kode di tutorial ini maka 4 komponen tersebut adalah sebagai berikut: 1. Orang atau benda-> pengguna atau pengunjung website; 2. 3. 4. Aksi-> mengakses/menload/mengunjungi halaman web; Benda-> halaman web, misal: index.php, login.php, admin.php; Peran-> guest,admin,user ditentukan dari kolom type di tabel user.
File Konfigurasi
Pertama buat file config.php untuk menyimpan semua konfigurasi umum seperti konfigurasi koneksi database.
1. <?php 2. if(!defined('__NOT_DIRECT')){ 3. //mencegah akses langsung ke file ini 4. die('Akses langsung tidak diizinkan!'); 5. } 6. 7. define('BASE_URL', '/tutorial/multi-login/'); 8. //koneksi database 9. define('DB_HOST','localhost'); 10. define('DB_USER','root'); 11. define('DB_PASS', 'blah'); 12. define('DB_NAME' ,'test');
Pada baris ke-2 sampai ke-5 digunakan untuk mencegah akses langsung ke file config.php, file harus di-include oleh file lain dengan mendifinisikan konstanta__NOT_DIRECT terlebih dahulu. Baris ke-7 adalah bagian terpenting, mendifinisikan konstanta BASE_URL jika Anda mengakses tutorial ini di browser seperti http://localhost/tutorial/multi-login/ maka BASE_URL diisi dengan /tutorial/multi-login/. Jika http://localhost/multi-login/ maka isi BASE_URL dengan /multi-login/. Tinggal hilangkan localhost, lebih mudahnya lagi jika Anda membuat tutorial ini di folder htdocs/tutorial/multi-login maka isi BASE_URL dengan tutorial/multi-login. Baris selanjutnya adalah mendefinisikan konstanta untuk koneksi ke database.
untuk pengguna dengan peran user (user biasa), dan file guest.php untuk pengguna dengan peran guest. Masing masing file tersebut adalah sebagai berikut: file admin.php
1. <?php 2. $__akses_config = array( 3. 'login.php', 4. 'logout.php', 5. 'admin/index.php', 6. 'admin/list-user.php', 7. 'admin/add-user.php', 8. 'admin/edit-user.php', 9. 'admin/delete-user.php', 10. 'admin/add-artikel.php', 11. 'admin/edit-artikel.php', 12. 'admin/list-artikel.php', 13. 'admin/delete-artikel.php', 14. 'index.php',
15. 16.
'view-artikel.php' );
file user.php
1. <?php 2. $__akses_config = array( 3. 'login.php', 4. 'logout.php', 5. 'admin/index.php', 6. 'admin/add-artikel.php', 7. 'admin/edit-artikel.php', 8. 'admin/list-artikel.php', 9. 'admin/delete-artikel.php', 10. 'index.php', 11. 'view-artikel.php' 12. );
file guest.php
1. <?php 2. if(!defined('__NOT_DIRECT')){ 3. //mencegah akses langsung ke file ini 4. die('Akses langsung tidak diizinkan!'); 5. }
Kedua mengecek apakah user sudah login atau belum dan menentukan tipe/peran pengguna.
6. 7. 8. 9.
// .... session_start(); include_once dirname(__FILE__).DIRECTORY_SEPARATOR.'config.php'; if(!isset($_SESSION['my_user_agent']) || ($_SESSION['my_user_agent']!=md5($_SERVER['HTTP_USER_AGENT']))){ 10. //user belum login 11. $__tipe_user = 'guest'; 12. }else{
13. 14.
$__tipe_user = $_SESSION['tipe_user']; }
Membuka session di baris ke-7, baris ke-8 meng-include file config.php yang telah dibuat sebelumnya. Baris ke-9 sampai 14 mengecek apakah pengguna sudah login, jika belum login maka tipenya adalah "guest" dan sebaliknya tipe user sesuai dengan nilai $_SESSION['tipe_user'] (sesuai dengan nilai dari tabel user). Catatan: Berikut penjelasan beberapa fungsi yang mungkin baru Anda ketahui:
DIRECTORY_SEPARATOR adalah konstanta yang berisi nilai 'pemisah folder', di windows nilainya \ dan di linux /. __FILE__ adalah konstanta yang berisi nilai nama lengkap file beserta nama foldernya misal, file cekakses.php ada di folder C:\xampp\htdocs\multi-login maka __FILE__ akan berisi C:\xampphtdocsmultilogincek-akses.php.
dirname fungsi untuk mendapatkan nama folder dari sebuah file atau folder, dirname('C:\xampp\htdocs\multi-login\cek-akses.php'); akan menghasilkan 'C:\xampp\htdocs\multi-login'.
Ketiga meng-include salah satu file yang ada di folder akses yang dibuat sebelumnya, sesuai dengan tipe pengguna yang diperoleh pada kode di atas. Jika tipe pengguna guest maka include file akses/guest.php, jika admin maka include file akses/admin.php
15. 16.
//..... $aksesFilename = dirname(__FILE__).DIRECTORY_SEPARATOR.'akses'.DIRECTORY_SEPARATOR.$__t ipe_user.'.php'; 17. if(!file_exists($aksesFilename)){ 18. die('Terjadi kesalahan sistem'); 19. } 20. include $aksesFilename;
Keempat menentukan file yang sedang diakses oleh pengguna dan mengecek apakah pengguna diperbolehkan mengakses file tersebut.
Kelima jika pengguna tidak diizinkan dan pengguna belum login maka pengguna dialihkan ke halaman login (baris 28 dan 29), sebaliknya ditampilkan text "Anda tidak diizinkan mengakses halaman ini!" (baris 31).
//.......... if(!$allow){ if($__tipe_user == 'guest' && $currentPath != 'login.php'){ header("Location: ".BASE_URL.'login.php'); }else{ echo "Anda tidak diizinkan mengakses halaman ini!"; } exit; }
Setelah semua langkah di atas digabungkan maka file cek-akses.php akan seperti:
1. <?php 2. if(!defined('__NOT_DIRECT')){ 3. //mencegah akses langsung ke file ini 4. die('Akses langsung tidak diizinkan!'); 5. } 6.
7. session_start(); 8. 9. require_once dirname(__FILE__).DIRECTORY_SEPARATOR.'config.php'; 10. 11. if(!isset($_SESSION['my_user_agent']) || ($_SESSION['my_user_agent']!=md5($_SERVER['HTTP_USER_AGENT']))){ 12. //user belum login 13. $__tipe_user = 'guest'; 14. }else{ 15. $__tipe_user = $_SESSION['tipe_user']; 16. } 17. 18. $aksesFilename = dirname(__FILE__).DIRECTORY_SEPARATOR.'akses'.DIRECTORY_SEPARATOR.$__t ipe_user.'.php'; 19. if(!file_exists($aksesFilename)){ 20. die('Terjadi kesalahan sistem'); 21. } 22. include $aksesFilename; 23. 24. $arrayCurrentPath = explode('?',$_SERVER['REQUEST_URI']); 25. $currentPath = substr($arrayCurrentPath[0], strlen(BASE_URL)); 26. 27. $allow = in_array($currentPath, $__akses_config); 28. 29. if(!$allow){ 30. if($__tipe_user == 'guest' && $currentPath != 'login.php'){ 31. header("Location: ".BASE_URL.'login.php'); 32. }else{ 33. echo "Anda tidak diizinkan mengakses halaman ini!"; 34. } 35. exit; 36. }
Otentikasi Pengguna
Setelah membuat skrip untuk otorisasi pengguna di atas, langkah selanjutnya adalah membuat skrip untuk Otentikasi user.
File Login.php
Berikut adalah langkah langkah untuk membuat file login.php, langkah langkah mengotentikasi pengguna. Pertama mendefinisikan konstanta __NOT_DIRECT dan meng-include file cek-akses.php
Ketiga cek kebenaran user_id dan password yang diinput pengguna. Jika benar buat 3 session $_SESSION['tipe_user'], $_SESSION['user_id'], dan $_SESSION['my_user_agent'] dan alihkan pengguna ke halaman admin/index.php. Sebaliknya jika user_id atau password salah tampilkan pesan "ID User atau password salah!"
7. 8. 9.
//.......... $userId = mysql_real_escape_string($_POST['user_id']); $data = mysql_fetch_array(mysql_query("select * from user where user_id='".$userId."'")); 10. if($data !== false && $data['password'] == md5($_POST['password'])){ 11. //login berhasil 12. $_SESSION['tipe_user'] = $data['type']; 13. $_SESSION['user_id'] = $data['user_id']; 14. $_SESSION['my_user_agent'] = md5($_SERVER['HTTP_USER_AGENT']); 15. header("Location: admin/index.php"); 16. }else{ 17. echo "ID User atau password salah!"; 18. } 19. }?>
Keempat membuat form login
//....... <form method="post" action=""> ID User: <input type="text" name="user_id"/> Password: <input type="password" name="password"/> <input type="submit" value="Login"/> </form>
<?php defined('__NOT_DIRECT') || define('__NOT_DIRECT',1); include 'cek-akses.php'; if($_POST){ mysql_connect(DB_HOST,DB_USER,DB_PASS); mysql_select_db(DB_NAME); $userId = mysql_real_escape_string($_POST['user_id']); $data = mysql_fetch_array(mysql_query("select * from user where user_id='".$userId."'")); 9. if($data !== false && $data['password'] == md5($_POST['password'])){ 10. //login berhasil 11. $_SESSION['tipe_user'] = $data['type']; 12. $_SESSION['user_id'] = $data['user_id']; 13. $_SESSION['my_user_agent'] = md5($_SERVER['HTTP_USER_AGENT']); 14. header("Location: admin/index.php"); 15. }else{ 16. echo "ID User atau password salah!"; 17. }
} ?> <form method="post" action=""> ID User: <input type="text" name="user_id"/> Password: <input type="password" name="password"/> <input type="submit" value="Login"/> </form>
1. 2. 3. 4.
Uji Coba
Gunakanlah sql berikut untuk menambahkan user di tabel user
1. INSERT INTO USER (user_id, name, password, TYPE) VALUES ('admin1', 'Admin', md5('admin'), 'admin'); 2. INSERT INTO USER (user_id, name, password, TYPE) VALUES ('test', 'Test', md5('123456'), 'user');
Sekarang akses dari browser http://localhost/multi-login/admin/index.php maka Anda akan dialihkan ke halaman login. Masukkan user id test dan password 123456. Setelah berhasil login akses http://localhost/multilogin/admin/add-user.php maka akan muncul text "Anda tidak diizinkan mengakses halaman ini!". Dengan langkah yang sama coba login dengan admin dan password admin, lalu akses http://localhost/multilogin/admin/add-user.php maka Anda akan diperbolehkan mengaksesnya serta text "Anda tidak diizinkan mengakses halaman ini!" akan hilang.