Jak udělat jednoduché přihlášení*

mohl by vypadat třeba takto:
To, jak se bude jmenovat je úplně šumafuk. Do té přihlašovací stránky ho vložíš pomocí include('jeho_jmeno.php');
Ale jak vidíš, tak ten soubor má jen jediný řádek, takže ho klidně můžeš vložit přímo do přihlašovacího souboru.

sveatlo:
To máte něco už hotového a jen potřebujete doplnit ta jména a hesla, nebo to děláte od začátku? V druhém případě na názvu souboru celkem nezáleží.

Možná by přihlašovací údaje bylo lepší držet v databázi než v souboru.

Ještě dodám, že heslo by se nikdy nemělo držet přímo, ale jako hash (MD5 je úplné minimum)

Joker:
No pokud to chce přidávat ručně, tak snad databáze není ani potřeba. A k té md5, je pravda, že je dobré, etické, atd. ukládat hesla zašifrovaná, ale přece nemůžu po někom chtít, aby mi řekl md5 hash jeho hesla. Jak to ten chudák má vědět? (Můžu mu na to vytvořit extra aplikaci na převod do md5 (nebo jinam) ale prostě mi to v tomto případě přijde zbytečné (tím myslím celé to hashování))

keeehi:
„(Můžu mu na to vytvořit extra aplikaci na převod do md5 (nebo jinam) ale prostě mi to v tomto případě přijde zbytečné (tím myslím celé to hashování))“
Taková aplikace je v PHP ovšem "velice složitá" ;)

To samozřejmě nebudu chtít po uživateli, ale udělá se to na serveru.

pozn.: Zahashovat jde heslo už rovnou v prohlížeči javascriptem, jak píše Jakub Vrána v článku Bezpečné přihlašování uživatelů. Je to zajímavá možnost jak zabránit odposlouchání hesla při přihlášení při nešifrovaném spojení (a bez HTTPS), i když nevím o tom, že by se to někde prakticky používalo.

keeehi:
OK, databáze by byl trochu kanón na vrabce, nicméně alespoň by šla jednoduše udělat například možnost si heslo změnit.

„k té md5, je pravda, že je dobré, etické, atd. ukládat hesla zašifrovaná, ale přece nemůžu po někom chtít, aby mi řekl md5 hash jeho hesla“
Za prvé: I tak bych tohle měl na paměti. To je totiž typický vývoj- na začátku se na zabezpečení kašle, "vždyť o nic nejde...", pak je ta aplikace populární, tak se stávající jádro obalí novými funkcemi, pak znovu... a dopadne to jak s libimseti.cz
Za druhé: No jestli se kdokoliv s přístupem k souborům na serveru může přihlásit jako kterýkoliv registrovaný uživatel, to by možná bylo jednodušší zavést jedno "centrální" heslo s tím, že autorizovaným uživatelům by se prostě řeklo to heslo.

Ještě dodám, že je také možné využít HTTP autentizaci.

Joker:
„Za druhé: No jestli se kdokoliv s přístupem k souborům na serveru může přihlásit jako kterýkoliv registrovaný uživatel, to by možná bylo jednodušší zavést jedno "centrální" heslo s tím, že autorizovaným uživatelům by se prostě řeklo to heslo.“
Databáze není šifrovaná, takže kdo se dostane k souborům na serveru, dostane se i k obsahu databáze. Pokud ten server neběží na něčem jako Windows 95/98, tak mají ale různí uživatelé různá práva - ne všichni mají přístup všude (ke všem souborům, do všech databází).
EDIT: aha, tak to jsem úplně nepochopil, myslel jsem, že se srovnává databáze/soubory. teď už chápu.

imploder:
„Databáze není šifrovaná“
Mluvil jsem o hashování. Ten řádek nad citací se týkal použití databáze, ten zbytek pod citací je o hashování.

sveatlo:
třeba takto:

keeehi:
„ale přece nemůžu po někom chtít, aby mi řekl md5 hash jeho hesla“
Uživatel ti řekne, že chce mít heslo "pes". Ty si ho proženeš funkcí MD5 a do souboru uložíš to, co vyleze z md5("pes"). Uživatel se přihlásí, zadá "pes" a ty jen porovnáš

a uživatel ani nemusí tušit, že nějaký hash používáš.
md5 bohatě stačí, je sice prolomená na kolize, ale to vadí jenom u ověřování pravosti souborů (lze podstrčit jiný se stejným md5), u hesel je to celkem jedno, rychlý dešifrovací algoritmus znám není.