SVARFORSLAG : Eksamen i IBE102 Webutvikling Våren 2017.

Transkript

1 Avdeling for Logistikk SVARFORSLAG : Eksamen i IBE102 Webutvikling Våren Eksamensdag: 5. mai 2017 Tid: Faglærer/tlf: Ketil Danielsen Hjelpemidler: Ingen. Antall sider, inkl. forsiden: 6 Målform: Bokmål

2 SLUTTEKSAMEN IBE102 Webutvikling, våren 2017 Dato: 5/ Tid: 4 timer, skriftlig, ingen hjelpemidler. Årets oppgave handler om et nettsted for aksjer. Lag effektiv kode som gjenbruker så mye som mulig. Skriv kommentarer i koden som forklarer hva du har tenkt og hvilken deloppgave koden er svar på. Funksjoner og annet (variabler og konstanter) kan legges til felles.php, om du mener det er fornuftig å sentralisere de. Oppgave 1: Skjema for registrering og innlogging (login.php) Brukerne må først registrere seg, så kan de logge inn. Lag login.php med et skjema for å logge inn, og et skjema for å registrere seg: De to knappene (Logg inn og Registrer meg) skal sende brukeren til sjekklogin.php og nybruker.php. Svar: Lager to skjema (FORM), hver med knapp som sender bruker til korrekt program. Passordet sladdes (med password som type). // login.php: vis skjema echo "<h3>logg inn</h3>"; echo "<form action='sjekklogin.php' method='post'>"; echo " Brukernavn: <input type='text' name='brukernavn'>";

3 echo " <br>passord: <input type='password' name='passord'>"; echo " <input type='submit' name='loginknapp' value='logg inn!'>"; echo "</form>"; echo "<h3>registrer deg som ny bruker</h3>"; echo "<form action='nybruker.php' method='post'>"; echo " Ønsket brukernavn: <input type='text' name='brukernavn'>"; echo " <br>ønsket passord: <input type='password' name='passord'>"; echo " <input type='submit' name='regknapp' value='registrer meg!'>"; echo "</form>"; For de neste oppgaver: Anta følgende om brukerlagring: Brukerne ligger i databasen Vestbase, i tabellen brukere som ble opprettet som vist under. CREATE TABLE brukere ( id SMALLINT AUTO_INCREMENT PRIMARY KEY, brukernavn VARCHAR(20), passord VARCHAR(300), status INTEGER ); Her er litt SQL-hjelp fra w3schools.com: SELECT [ distinct ] column_name, column_name FROM table_name WHERE column_name operator value ; INSERT INTO table_name ( column1, column2, column3,...) VALUES ( value1, value2, value3,...); Oppgave 2. Sikkerhetskrav Følgende sikkerhetskrav gjelder. For hvert av disse, forklar hvordan du i din besvarelse har løst kravet. Passordene skal ikke lagres i klartekst. Svar: Lagrer det som hash, laget av ferdige funksjoner i PHP. Passordene skal ikke vises på skjermen. Svar: Sladder inputfeltet for passord (i login.php).

4 Passordene skal ikke kunne fanges opp under transport. Svar: Kryptere meldingen, vanligvis ved å kjøre nettstedet via https (443-porten). Dette endrer ikke selve PHP-koden. SQL Injection skal ikke være mulig. Svar: Bruker prepared statements som vil renske bort evt. forsøk på SQL injection. Kan evt. bruke htmlentities() og andre vaskefunksjoner. Ingenting skal vises i adresselinjen (URL). Svar: Bruker POST som metode (ikke GET). Brukere skal logges ut automatisk etter 1 time uten aktivitet. Svar: Setter varigheten til time() hver gang den innloggede brukeren er innom. I nettleseren blir cookie automatisk slettet etter 3600 sekunder (=1 time). Oppgave 3: Registrering (nybruker.php) Hvis brukeren trykker Registrer meg! og brukernavnet er tatt, skal nybruker.php gi melding om at Brukernavnet opptatt! Hvis passorder er for kort (må være minst 10 tegn) vises Passord må være minst 10 tegn. Hvis derimot alt er OK skal ny bruker settes inn i databasen Svar: # nybruker.php include "felles.php"; $c = kobletil_db(); if (isset ($_POST['brukernavn'])) { $brukernavn = $_POST['brukernavn']; if (isset ($_POST['passord'])) { $oppgitt_passord = $_POST['passord']; if ( strlen ($oppgitt_passord) < 10) { echo "Passord må være minst 10 tegn!"; else { // bruker "prepared statements" (som s. 333 i boka) $sporring = "SELECT passord FROM brukere WHERE brukernavn=?"; $s = $c->prepare ($sporring); // forbered spoerring $s->bind_param ("s", $brukernavn); // bind innparameter $s->execute(); // utfoer spoerring $s->store_result(); // lagre svaret

5 if ($s->num_rows >= 1) { // sjekk antall rader i svaret echo "Brukernavnet opptatt!"; else { // legg inn ny bruker $sporring = "INSERT INTO brukere (brukernavn, passord) VALUES (?,?)"; $s = $c->prepare ($sporring); $s->bind_param ("ss", $brukernavn, password_hash($oppgitt_passord, PASSWORD_DEFAULT) ); $s->execute(); // antar at innsettingen gikk greit (ingen beskjed til bruker)) else { echo "Du må fylle ut passord"; else { echo "Du må fylle ut brukernavn"; felles.php: // felles.php function kobletil_db () { $c = new mysqli ("localhost", "root", "", "Vestbase"); if ($c->connect_errno) { echo "Feil ved kobling mot database: ". $c->connect_error; die(); return $c; $loginlogfil = "login-log.txt"; $feltskiller = ; function sistinnlogget ( $brukernavn ) { $sist = "(ikke tidligere innlogget)"; $fp = fopen ($loginlogfil, "r"); if (! $fp ) { echo "Kan ikke opne $loginlogfil\n"; while ( $l = fgets($fp)) { $felt = explode($feltskiller, $l); if ( $felt[0] == $brukernavn ) { $sist = $felt[1]. " ". $felt[2]; return $sist;

6 $aksjer = array ( "ASG"=> array("abg Sundal Collier", 10, 14, 5.95), "AKVA"=> array("akva Group", 210, 314, 7.05), "AFG"=> array("af Gruppen", 2, 311, 77.00), "AKA"=> array("akastor", 0, 0, 1.90), "AGA"=> array("agasti Holding", 13, 14, 1.05) ); Oppgave 4: Innlogging (sjekklogin.php) Hvis brukeren trykker Logg inn! skal sjekklogin.php akseptere forsøket kun hvis brukernavn og passord stemmer med en rad i databasen. Hvis bruker ikke har fylt ut brukernavn eller passord skal det stå en beskjed om at det manglende feltet må fylles ut. Hvis innlogging er OK, skal det stå Velkommen <brukernavn>. Du var sist innlogget <tidspunkt>. Trykk HER for å gå videre. Teksten HER er en lenke til meny.php som her: Hvis innlogging ikke er OK, skal det stå Ikke godkjent innlogging. Filen login-log.txt skal inneholde alle innlogginger. En linje per innlogging med formatet <brukernavn> <tidspunkt>. Svar: # sjekklogin.php include "felles.php"; $c = kobletil_db(); if (isset ($_POST['brukernavn'])) { $brukernavn = $_POST['brukernavn']; if (isset ($_POST['passord'])) { $oppgitt_passord = $_POST['passord']; // bruker "prepared statements" (som s. 333 i boka) $sporring = "SELECT passord FROM brukere WHERE brukernavn=?"; $s = $c->prepare ($sporring); // forbered spoerring

7 $s->bind_param ("s", $brukernavn); // bind innparameter $s->execute(); // utfoer spoerring $s->bind_result($lagret_passord); // bind resultat $s->fetch(); // hent verdi if ( password_verify ($oppgitt_passord, $lagret_passord) ) { $sistinnlogget = sistinnlogget($brukernavn); echo "Velkommen $brukernavn. Du var sist innlogget: $sistinnlogget. Trykk <a href='meny.php'>her</a> for å gå videre."; setcookie("brukernavn", $brukernavn, time()+3600); $fp = fopen( $loginlogfil, "a"); fwrite ($fp, $brukernavn. $feltskiller. date("y-m-d h:i:sa"). "\n"); else { echo "Ikke godkjent innlogging"; else { echo "Du må fylle ut passord"; else { echo "Du må fylle ut brukernavn"; Oppgave 5: Vis meny (meny.php) Menyen er enkle lenker til andre program (se under). Merk: Hvis brukeren er innlogget vises Du er innlogget som <brukernavn> (loggut) øverst på alle websidene. Teksten loggut skal lenkes til egen side for utlogging (se senere oppgave). Svar: topp.php : Merk: De fleste studenter unnlot/glemte å avvise de som IKKE var innlogget, og glemte å fornye gyldigheten (1 time etter siste aktivitet). if (! isset ($_COOKIE['brukernavn']) ) { die("ikke innlogget"); setcookie("brukernavn", time() ); // forny for enda en time echo "Du er innlogget som ". $_COOKIE['brukernavn']; echo " (<a href='loggut.php'>logg ut</a>)<hr>"; meny.php

8 // meny.php include "topp.php"; echo "<ul>"; echo " <li><a href='visalletickere.php'>vis alle tickere</a>"; echo " <li><a href='viskjopsalg.php'>vis alle kjøp og salg</a>"; echo "</ul>"; Til de to neste oppgaver: Aksjematrise Anta at aksjene ligger i aksjer som er en matrise (d.v.s. array/tabell). Hvert element er info om en aksje og er indeksert med aksjens ticker, f.eks. ASG. Disse er unike bokstavkombinasjoner. Du trenger ikke bruke tid på å skrive inn matrisen, men vis hvor du vil plassere den i koden. Her er innholdet som brukes i eksemplene under: $aksjer = array ( "ASG"=> array("abg Sundal Collier", 10, 14, 5.95), "AKVA"=> array("akva Group", 210, 314, 7.05), "AFG"=> array("af Gruppen", 2, 311, 77.00), "AKA"=> array("akastor", 0, 0, 1.90), "AGA"=> array("agasti Holding", 13, 14, 1.05),... ); For hver aksje lagres fire ting: Selskapsnavn, antall kjøpt, antall solgt, og aksjens verdi. OBS: Programmene under skal virke uansett hvor mange aksjer som måtte ligge lagret i matrisen. Oppgave 6: Vis tickerne (visalletickere.php) Hvis bruker velger vis alle tickere sendes han til visalletickere.php som viser ticker og bildelogo for alle aksjer som under:

9 Svar: Bildefilene ligger i undermappa bilder med filnavn lik <ticker>.png, der <ticker> er store bokstaver. F.eks. AGA.png. include "topp.php"; include felles.php ; echo "Alle tickere: "; foreach ($aksjer as $ticker => $verdier) { echo "<img src='bilder/$ticker.png' height=20>"; echo $ticker. " "; Oppgave 7: Vis kjøp og salg (viskjopsalg.php) Hvis bruker velger vis kjøp og salg sendes han til viskjopsalg.php. Hver aksje skal vises i en kulepunktliste som under (differansen kjøpt og solgt vises i parantes). Til sist vises sum kjøp og salg (og differanse). Svar: // viskjopsalg.php include "topp.php"; include felles.php ; echo "Alle aksjer med kjøp og salg: "; echo "<ul>"; foreach ($aksjer as $ticker => $v) { $kjop=$v[1]; $salg=$v[2]; $sumkjop += $kjop; $sumsalg += $salg; echo "<li>$ticker ". $v[0].

10 ": Kjøpt: $kjop Solgt: $salg (". ($kjop-$salg). ")</li>"; echo "</ul>"; echo "Sum kjøp: $sumkjop, Sum salg: $sumsalg (". ($sumkjop-$sumsalg). ")"; Oppgave 8: Utlogging (loggut.php) Bruker skal nå bli utlogget og følgende skjermbilde vises: Svar: // loggut.php setcookie("brukernavn", "", time() ); echo "Utlogget. <a href='login.php'>logg inn igjen</a>";