Новости Joomla

Вышел релиз безопасности Joomla 3.9.26

Доступна к загрузке Joomla! 3.9.26. Это релиз безопасности и исправлений, рекомендуется к установке.

Новая функция в Joomla 4: процессы публикации

Приближается релиз стабильной версии Joomla 4, поэтому пришло время рассмотреть, что из себя представляет новая функция в Joomla 4 - процессы публикации.

Интеграция форм обратной связи и Битрикс 24 на сайте Joomla

Небольшой мастер класс по интеграции Битрикс 24 и сайта на CMS Joomla. 

1 2  Все   Вниз
0 Пользователей и 1 Гость просматривают эту тему.
  • 43 Ответов
  • 1300 Просмотров
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Вход на сайт только с двух устройств и срок действия логина
« : 28.02.2019, 22:19:01 »
Добрый день.
Будет сайт коммунальной газеты, подписка хоть и копеечная но все же платная, хоть бы на хостинг хватило.
Есть две задачи :
1. Для пользователя необходимо установить срок действия логина(подписки). Если закончился срок оплаты подписки то пользователь видит только заголовки, грубо говоря стает незарегистрированным пользователем.
Как ето реализовать?
Я пробую так.
Добавил в базу пользователей два поля Date_Start & Date_End. Даты будут проставляться вручную в базе.
Только вот где в Joomle происходит сравнение введенных данных логина/пароля с полями базы данных, чтобы туда добавить еще одно условие на проверку дат?

2. Как защититься от передачи купленого логина другим лицам? Чтобы под одним логином можна было зайти только с двух устройств, к примеру с компа и мобильника.
Я ничего лучшего не придумал как добавить в базу пользователей еще одно текстовое поле типа DeviceCode. При первом логине генерируется какой-то набор символов и пишется в поле DeviceCode а на клиенте записывается в файл и уже при втором логине идет сравнение файла и поля базы.

Вопроса в принципе  2, просто для того что я придумал оба сводятся в один - где в Joomla , в каком файле и месте происходит сравнение введенных логина/пароля в форме логина с данными из базы данных?
Может кто-то посоветует как проще такие задачи реализовать или может есть готовые решения.
Мне на ru-boarde советовали https://extensions.joomla.org/extension/login-one/ но он только не дает зайти одновременно двум пользователям и плюс остается вопрос со сроком действия логина
Заранее благодарен за помощь. Прошу не сильно пинать, я с Joomla только начал разбираться
Записан
*

sivers

  • Завсегдатай
  • 1621
  • 226 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #1 : 28.02.2019, 22:57:13 »
Цитата: antarey от 28.02.2019, 22:19:01
Только вот где в Joomle происходит сравнение введенных данных логина/пароля с полями базы данных, чтобы туда добавить еще одно условие на проверку дат?
В плагин группы user в обработчике события onUserAuthenticate:
https://docs.joomla.org/Plugin/Events/Authentication#onUserAuthenticate
Перевод описания: "Это событие инициируется для проверки допустимости набора учетных данных входа." - как раз то, что вам нужно. Только вы будет сравнивать не с паролем, а с датами.
Записан
На связи в телеге @sivers
*

sivers

  • Завсегдатай
  • 1621
  • 226 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #2 : 28.02.2019, 23:00:03 »
Цитата: antarey от 28.02.2019, 22:19:01
2. Как защититься от передачи купленого логина другим лицам? Чтобы под одним логином можна было зайти только с двух устройств, к примеру с компа и мобильника.
Можно попробовать запоминать данные браузера (из $_SERVER['HTTP_USER_AGENT'] или используя класс JBrowser):
https://api.joomla.org/cms-3/classes/Joomla.CMS.Environment.Browser.html
Но не уверен, что это хорошая идея. Например, у юзера может обновиться браузер...
Записан
На связи в телеге @sivers
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #3 : 01.03.2019, 00:16:17 »
Цитата: sivers от 28.02.2019, 22:57:13
В плагин группы user в обработчике события onUserAuthenticate:
Спасибо, почитаю.
А можна как-то прочитать, сгенерировать идентификатор устройства в не зависимости от операционной системы?
Записан
*

sivers

  • Завсегдатай
  • 1621
  • 226 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #4 : 01.03.2019, 09:15:33 »
Цитата: antarey от 01.03.2019, 00:16:17
А можна как-то прочитать, сгенерировать идентификатор устройства в не зависимости от операционной системы?
http://php.net/manual/ru/function.openssl-random-pseudo-bytes.php
Генерите ключ, сохраняете в куку, потом сверяете.
Если надо 2 устройства, то запоминаете 2 ключа.
Записан
На связи в телеге @sivers
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #5 : 01.03.2019, 10:23:21 »
Цитата: sivers от 01.03.2019, 09:15:33
Генерите ключ, сохраняете в куку, потом сверяете.
Если надо 2 устройства, то запоминаете 2 ключа.
К сожалению не хватает постов чтобы поднять репутацию  *DRINK*. Куки не пойдут - любителей чистить кеш хватает, надо писать типа в мои документы, с виндой думаю проблем не будет, а вот что андроид скажет на ету тему надо проверить.
Записан
*

dmitry_stas

  • Легенда
  • 13152
  • 1232 / 8
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #6 : 01.03.2019, 11:17:25 »
Цитата: antarey от 01.03.2019, 10:23:21
надо писать типа в мои документы
пишите сразу в автозагрузку, че уж там )))
Записан
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #7 : 01.03.2019, 14:05:10 »
Цитата: dmitry_stas от 01.03.2019, 11:17:25
пишите сразу в автозагрузку, че уж там )))
Можна   ^-^ и туда, почитал немного и действительно куки самый удобный вариант, даже если их почистят или закончится срок действия не проблема ето предусмотреть.
Ну а вообще, можно прочитать как-то конфигурацию железа для генерации идентификатора, или проще не морлчить голову и генерировать рандомный ключ?
Записан
*

dmitry_stas

  • Легенда
  • 13152
  • 1232 / 8
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #8 : 01.03.2019, 14:11:01 »
гуглите fingerprint javascript. например, https://github.com/Valve/fingerprintjs2
Записан
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #9 : 01.03.2019, 14:48:27 »
Цитата: dmitry_stas от 01.03.2019, 14:11:01
гуглите fingerprint javascript. например
Ето как раз оно, спасобо большое.
Записан
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #10 : 01.03.2019, 14:55:23 »
Цитата: dmitry_stas от 01.03.2019, 14:11:01
fingerprint javascript
Вы знакомы с етой библиотекой? - если я правильно понял, для одного и того же устройства будет генерироваться постоянно один идентификатор? Вопрос в чем-надо ли идентификатор записывать на клиенте в те-же куки? В описании вроде написано, что куки не используются, но не используются для идентификации или генерации / проверки?
Записан
*

dmitry_stas

  • Легенда
  • 13152
  • 1232 / 8
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #11 : 01.03.2019, 15:28:40 »
смотрите, генерация происходит на клиенте. а проверку я так думаю вы будете делать на сервере. т.е. этот принт надо каким то образом передать. куки выглядят логичным решением, но не единственным.
Записан
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #12 : 01.03.2019, 17:03:13 »
@dmitry_stas
Цитата: dmitry_stas от 01.03.2019, 15:28:40
куки выглядят логичным решением
Согласен, но или  я Вас не так понял или не так задал вопрос. Просто если ета библиотека постоянно будет генерить один и тот же идентификатор до момента смены железа, то нет смысла писать куки на клиенте - раз загнал в базу и при каждом входе вызываем библиотеку и сверяем поле базы и идентификатор. Хотя вместо базы можно и в куки записать. Вопрос был именно по логике работы библиотеки-для одного и того же устройства она при каждом вызове будет генерить новый рандомный идентификатор, или же она грубо говоря читает железо вне зависимости от платформы и для одного устройства будет всегда один и тотже ключ. Просто от етих нюансов будет зависить дальнейшая реализация
Записан
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #13 : 01.03.2019, 18:53:38 »
прежде чем начать мучить Joomla еще такой вопрос - я не писал клиент-серверных приложений для винды и пока плохо понимаю логику работы веб сайта. Исходя из рекомендаций могу ли я в обработчике onUserAuthenticate сначала запустить ява скрипт тот же fingerprintjs2 сгенерить код и записать в куки, а потом дальше по коду уже на PHP делать проверки? Если  нет, и ето надо делать в двух событиях, то какое событие идет перед onUserAuthenticate ? Есть что-то типа onBeforeUserAuthenticate ?
Записан
*

passer

  • Завсегдатай
  • 1013
  • 75 / 3
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #14 : 01.03.2019, 19:19:01 »
Для начала уясните. php выполняется на веб сервере, javascript выполняется браузером. Думаю этого будет достаточно.
Записан
*

dmitry_stas

  • Легенда
  • 13152
  • 1232 / 8
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #15 : 01.03.2019, 19:38:02 »
Цитата: passer от 01.03.2019, 19:19:01
Для начала уясните. php выполняется на веб сервере, javascript выполняется браузером
угу
Записан
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #16 : 01.03.2019, 20:12:17 »
@passer, @dmitry_stas

Цитата: passer от 01.03.2019, 19:19:01
Для начала уясните. php выполняется на веб сервере, javascript выполняется браузером. Думаю этого будет достаточно
с етим разобрались, вроде ^-^, но я честно говоря не знаю структуру Joomla и не знаю куда можно впихнуть выполнение ява скрипта. Я так понимаю туда где формируется HTML код сайта, но вот куда точно?? Я без понятия.
Записан
*

dmitry_stas

  • Легенда
  • 13152
  • 1232 / 8
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #17 : 01.03.2019, 20:26:27 »
в index.php шаблона Joomla например. или модуль кастомный HTML сделать и вывести его на всех/нужных страницах. мы ж тоже не знаем вашу логику, где вы хотите это формировать...
Записан
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #18 : 01.03.2019, 20:33:08 »
Цитата: dmitry_stas от 01.03.2019, 20:26:27
мы ж тоже не знаем вашу логику
^-^ было-бы неплохо чтобы и я знал, я как раз хотел спросить за index. php только думал за файл в корне Joomla, а не шаблона. Мне все равно где запустить скрипт, главное чтобы перед событием авторизации пользователя onUserAuthenticate
Записан
*

dmitry_stas

  • Легенда
  • 13152
  • 1232 / 8
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #19 : 01.03.2019, 20:35:03 »
Цитата: antarey от 01.03.2019, 20:33:08
я как раз хотел спросить за index. php только думал за файл в корне Joomla, а не шаблона.
нет, нужен в шаблоне, а не в корне Joomla
Записан
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #20 : 01.03.2019, 21:07:24 »
Цитата: dmitry_stas от 01.03.2019, 20:35:03
нет, нужен в шаблоне, а не в корне Joomla
Понял, спасибо, пока есть чем занятся
Записан
*

SalityGEN

  • Захожу иногда
  • 148
  • 5 / 0
  • Делаю мир лучше
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #21 : 02.03.2019, 14:18:56 »
Не думаю что куки хорошая идея, проверка на клиенте это плохо!

Я бы так сделал:
клиент логиниться -> проверка есть ли такой залогиненный -> да есть -> проверка количества залогиненых с тем же user_id в бд
если больше 2 то успешный логин без записи в бд и принудительный редирект на страницу
"ошибка доступа с кнопкой разлогин всех (сброс записи в бд на 0 и разлогин)"
если меньше 2 то успешный логин и запись количества залогиненых в бд + 1
--------
С другой стороны всех разлогинит но они по прежнему будут на странице пока не обновят ее и тут как бы защита-не защита...
Можно докрутить AJAX который будет в режиме реального времени опрашивать сервер (long-pooling) и в случае чего принудительно перезагружать страницу
Но если клиент отключит js то волшебства не будет, хотя и на это можно написать проверку в <noscript>
Записан
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #22 : 02.03.2019, 14:51:06 »
@SalityGEN
Я на клиенте планирую только генерировать идентификатор устройства и то только в том случае если его еще нет в кукисах.
А все проверки будут на серверной стороне. Первично логин пароль, потом даты действия логина, а потом уже идентификатор.
По ходу вопрос - какое поле бд говорит о том что юзер уже залогинился?
Хотя если проверять идентификатор ето как-бы не актуально, потому как юзер тогда не сможет открыть две копии сайта на одном устройстве. Еденственное что меня беспокоит ето сохраненные пароли, я не знаю как поведет себя Joomla если в момент нового входа на сайт та же Opera подставит логин пароль и сработает автовход. Будет ли происходить событие Joomla onUserAuthenticate? По идее должно. А там не знаю
Записан
*

dmitry_stas

  • Легенда
  • 13152
  • 1232 / 8
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #23 : 02.03.2019, 15:52:44 »
Цитата: SalityGEN от 02.03.2019, 14:18:56
Не думаю что куки хорошая идея, проверка на клиенте это плохо!
проверка на клиенте однозначно плохо. непонятно только при чем тут куки и проверка на клиенте? :)

Цитата: antarey от 02.03.2019, 14:51:06
Будет ли происходить событие Joomla onUserAuthenticate?
да. автосохранение в браузере не имеет никакого отношения к жумле, процесс логина ничем не отличается от того, ввели логин руками или он автоматически подставился в поле логина
« Последнее редактирование: 02.03.2019, 15:56:24 от dmitry_stas »
Записан
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций
*

SalityGEN

  • Захожу иногда
  • 148
  • 5 / 0
  • Делаю мир лучше
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #24 : 02.03.2019, 16:26:43 »
направлю ваши мысли, вставьте код и попробуйте логиниться\разлогиниться с 2х браузеров и смотрите на вывод
Код
$user = JFactory::getUser();
if((int)$user->id > 0){
$db = JFactory::getDBO();
$query = 'SELECT * FROM #__session AS s WHERE s.userid IN ("'.$user->id.'")';
$db->setQuery($query);
$loggedin_users = $db->loadObjectList();
var_dump($loggedin_users);
}
на боевом сайте с кодом аккуратнее, т.к вывод будут видеть все!
Записан
*

SalityGEN

  • Захожу иногда
  • 148
  • 5 / 0
  • Делаю мир лучше
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #25 : 02.03.2019, 17:01:12 »
короч, тут и так все понятно. вот реализация, соль, перец добавить по вкусу

Код
$user = JFactory::getUser();
if(isset($_POST['userId'])){
	if((int)$_POST['userId'] > 0 && (int)$_POST['userId'] == (int)$user->id){
		$db = JFactory::getDBO();
		$query = 'DELETE FROM `#__session` WHERE userid = '.(int)$user->id;
		$db->setQuery($query);
		$db->loadRowList();
		Header('Location: /');
	}	
}

if((int)$user->id > 0){
	$db = JFactory::getDBO();
	$query = 'SELECT * FROM #__session AS s WHERE s.userid IN ("'.$user->id.'")';
	$db->setQuery($query);
	$loggedin_users = $db->loadRowList();
	if(count($loggedin_users)>2){
		print '<form method="POST"><button type="submit" name="userId" value="'.$user->id.'">Разлогинить всех к чертям</button></form>';
		die('Превышен лимит активных пользователей');
	}
}
а куками могут начать обмениваться по этому это проверка на клиенте
Записан
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #26 : 02.03.2019, 18:27:41 »
@SalityGEN, по коду пока только общие понятия, пока сам руками не попробую. К сожалению только учусь и многого не понимаю.
Я тут немного грамотных статей почитал и ещё больше запутался - как быть с куками для передачи сгенерированного идентификатора на яве на сторону сервера, если пользователь зайдет на сайт в режиме инкогнито? Плюс как проверить что пользователь запретил ява скрипт и не грузить сайт - таких вариантов я думаю будут еденицы, но всё же. Или пока что не забивать дурным голову?  ^-^
Записан
*

dmitry_stas

  • Легенда
  • 13152
  • 1232 / 8
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #27 : 02.03.2019, 18:31:25 »
Цитата: antarey от 02.03.2019, 18:27:41
как быть с куками для передачи сгенерированного идентификатора на яве на сторону сервера, если пользователь зайдет на сайт в режиме инкогнито?
а в чем проблема с передачей кук в режиме инкогнито? никакой проблемы нет, для вас

Цитата: antarey от 02.03.2019, 18:27:41
Плюс как проверить что пользователь запретил ява скрипт
ну так вы куку выставлять скриптом будете. нет яваскрипта - нет куки. нет куки - нет логина.
Записан
Тут дарят бакс просто за регистрацию! Успей получить!
Все советы на форуме раздаю бесплатно, то есть даром. Индивидуально бесплатно консультирую только по вопросам стоимости индивидуальных консультаций
*

SalityGEN

  • Захожу иногда
  • 148
  • 5 / 0
  • Делаю мир лучше
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #28 : 02.03.2019, 18:52:10 »
Цитата: antarey от 02.03.2019, 18:27:41
@SalityGEN, по коду пока только общие понятия, пока сам руками не попробую. К сожалению только учусь и многого не понимаю.
Я тут немного грамотных статей почитал и ещё больше запутался - как быть с куками для передачи сгенерированного идентификатора на яве на сторону сервера, если пользователь зайдет на сайт в режиме инкогнито? Плюс как проверить что пользователь запретил ява скрипт и не грузить сайт - таких вариантов я думаю будут еденицы, но всё же. Или пока что не забивать дурным голову?  ^-^
С моим решением механизм таков:
вот есть пользователь, ему дали пароль он доволен, тут он решил поделиться своим паролем от чего сам и остальные будут не рады!
так как смотреть смогут по очереди что не совсем удобно..
Но сам пользователь может смотреть в 2х браузерах, (тут +уязвимость кстати)
к примеру - 1 телефон + 1 пк
Привязываться к железу тоже не вариант, что если пользователь на всегда сменил устройство.
JS в данном решении не используется.
Данное решение не спасет если пользователь откроет платную статью, а в соседней вкладке разлогинится и передаст пароль другому.
По такой цепочке доступ получат сколько угодно людей и им просто не стоит обновлять страницу!
Вот тут нужно заставить страницу обновиться, на помощь придет js и 1 php файлик который будет опрашиваться с необходимым интервалом и давать ответ - обновить страницу или нет.
Предположим что люди поняли что работает такой механизм и решают отрубить js
на помощь приходит
<noscript>
  <meta http-equiv="refresh" content="0;url=страница_куда_будет_послан_такой_пользователь.html">
</noscript>
в общем при отключенном js пользователя отправляем на страницу и говорим ему включи js иначе кина не будет
Записан
*

antarey

  • Захожу иногда
  • 162
  • 1 / 0
Re: Вход на сайт только с двух устройств и срок действия логина
« Ответ #29 : 02.03.2019, 19:35:39 »
Цитата: SalityGEN от 02.03.2019, 18:52:10
Привязываться к железу тоже не вариант, что если пользователь на всегда сменил устройство.
Всех вариантов не предусмотреть, смена компа / мобильника в любом слючае приведёт к ручной роботе. В моем случае требуется защита среднего уровня. Так как абсолютной защиты нет в природе, а тем более в районной газете нет ни смысла не финансов делать идеальную защиту.
Я кстати очень благодарен всем кто помогал разобраться в вопросе. Я раньше сидел на ru-boarde, но последнее время что то етот форум умерает и я честно не ожидал такого уровня поддержки на етом форуме. Дали кучу советов и пока буду пробовать реализовать то что посоветовали. Пока всем огромное спасибо за помощь, теперь от теории буду переходить к практической реализации
Записан
1 2  Все   Вверх
Чтобы оставить сообщение,
Вам необходимо Войти или Зарегистрироваться
 

Краулер нагружает сайт

Автор polezniy

 Ответов: 7
Просмотров: 314 		Последний ответ 09.04.2021, 08:04:01
от SeBun
Как поставить виртуальную экскурсию колледжа на сайт?

Автор NoName

 Ответов: 14
Просмотров: 213 		Последний ответ 30.03.2021, 17:27:27
от effrit
Сайт дублируется целиком на другой домене

Автор Loh

 Ответов: 1
Просмотров: 102 		Последний ответ 16.03.2021, 19:50:51
от Loh
Метки / теги - вывод только избранных материалов, как?

Автор x1

 Ответов: 0
Просмотров: 78 		Последний ответ 16.03.2021, 15:32:03
от x1
Не отображается вход в админку

Автор Leo1986

 Ответов: 6
Просмотров: 243 		Последний ответ 02.03.2021, 17:38:59
от Leo1986