Перенаправление

[diazolin]

Привет. Хотелось бы сделать следующее, когда пользователь вводит пароль и логин , его перенаправляет на страницу соответствующую его логину (разделение идёт по правам, т.е. админ одни права , юзер урезанные)

В форме есть 2 поля логин и пасс и кнопка

В коде обработчике вот это:
<?
$db = mysql_connect("localhost","root","" );
mysql_select_db("Course_Work(paspor t table)" ,$db);
$_REQUEST['login'];
$_REQUEST['password'];
$login=$_REQUEST['login'];
$password=$_REQUEST['password'];
$query = "SELECT id
FROM login
WHERE login='{$login}' and password='{$password}'
LIMIT 1";
$sql = mysql_query($query) or die(mysql_error());
if ($password="admin" and $login="admin"){
echo 'Done!';
}
else {
echo 'Try again!';
}
?>

почему не работает мой код ? Вопрос в этом. Cкидывать готовый сделанный не нужно, просто скажите почему когда я ввожу пасс и логин, будь он admin/admin или 121313/вапапва мне пишет на страничке DONE! =(

[LZero]

Потому что оператор сравнения - 2 или 3 знака "=". То есть надо if ($password=="admin" and $login=="admin")

[diazolin]

нет не слышал) я вообще пару дней как читать пхп начал , заодно курсач делаю)

Всё работает, спасибо, не подумал я что тут именно присваивать нужно значение

[LZero]

Если курсач, то еще ладно. А в реальном приложении нужно быть внимательным - взломать могут. ru.wikipedia.org/wiki/Внедрение_SQL-кода

[diazolin]

ну если ты про это $login=md5($_REQUEST['login']); то знаю

[LZero]

Нет, про

$login = mysql_real_escape_string($_REQUEST['login']);
$password = mysql_real_escape_string($_REQUEST['password']);

Нужно проверять и фильтровать входящие данные.

[diazolin]

А можно узнать что означает mysql_real_escape_string, а то в мануале я не очень понял что она делает !

if ($password==="admin" and $login==="admin"){
echo 'Done1!';
}
elseif ($password==="guest" and $login==="1")
{ echo 'DONE2!';
}
else {
die ("Try again!");
}
?>

Сделал так и теперь работает только if а elseif не хочет =(

[LZero]

mysql_real_escape_string добавляет обратную косую черту к следующим символам: \x00, \n, \r, \, ', " и \x1a.

Эта функция должна всегда (за несколькими исключениями) использоваться для того, чтобы обезопасить данные, вставляемые в запрос перед отправкой его в MySQL. Из мануала.

Тут лучше использовать == , а не ===. Типы не совпадают, наверное. Вообщем, если пока не понимаешь разницу между == и ===, используй ==. Если коротко, "==" - это не учитывается тип данных (1 == '1' - true), а "===" - учитывает (1 === '1' - false).