Sökes: PHP/MySQL inloggning med redirect

Login.php
Login.php tar emot $login och $losen via ett formulär med POST.

$login = $_POST['login'];
$losen = $_POST['losen'];

$sel = mysql_query("SELECT * FROM users WHERE username='$login' AND user_password='$losen'");
$antal = mysql_num_rows($sel);


if($antal == true)
	{

	$arr = mysql_fetch_array($sel);

	session_start();

	$_SESSION["authed"] = true;
	$_SESSION["user_id"] = $arr["user_id"];
	
	$user =  $arr["username"];
	$user_id =  $_SESSION['user_id'];

        header("Location: index.php");
}
else
{
	//Detta händer när användarnamnet är fel.
	$_SESSION["authed"] = false;
	$_SESSION["user_id"] = "";
	echo "Användaren finns inte!";
}

index.php

if($_SESSION['authed'] == false)
        {
                //echo ("inte inloggad");
                $login_status = "no";
                // eller skicka tillbaka till login.php
                //header("Location: login.php");
        }

elseif($_SESSION['authed'] == true)
        {
                $login_status = "yes";
                $id = $_SESSION['user_id'];
                $user_level = $_SESSION['user_level'];

                $sel_info = mysql_query("SELECT * FROM users WHERE user_id = '$id'");
                $user_info = mysql_fetch_array($sel_info);
        }
?>

Skriv ut allt och allt som $user_info tinnehåller

Detta har jag använt mig utav och jag tycker att det fungerar fint. Glömt inte att ha "session_start();" överst på alla sidor sen. Och en if-sats som kollar så att man är inloggad.

VIKTIGT !

Kör inte dina SQL-frågor utan att köra variablerna genom mysql_real_escape_string.

Dvs

/* tillåtande kod för sql-injections */
$login = $_POST['login'];
$losen = $_POST['losen'];

$sel = mysql_query("SELECT * FROM users WHERE username='$login' AND user_password='$losen'");


/* bättre lösning */
$login = mysql_real_escape_string($_POST['login']);
$losen = mysql_real_escape_string($_POST['losen']);

$sel = mysql_query("SELECT * FROM users WHERE username='$login' AND user_password='$losen'");

Kontrollera även om magic_quotes_gpc() är påslaget, då behöver du köra stripslashes() på variablerna INNAN du kör mysql_real_escape_string.
SQL-injection är när man skickar med sql-kod. Busenkelt att radera hela databasen så som koden ser ut nu.