if (!isset($_POST['login']) or !isset($_POST['pass']))

Здесь вы проверяете если НЕ введено, не существует..т.е отрицание !isset

if (isset($_POST['login']) or isset($_POST['pass'])) у тебя же написано, что если ЕСТЬ какое либо из этих полей, то вывести что не заплнены поля.... ОНИ ЕСТЬ ВСЕГДА КОГДА ФРМА ОТПРАВЛЕНА. надо белать проверку на содержание.

if ((isset($_POST['login']) and !$_POST['login'])or(isset($_POST['pass']) and !$_POST['pass']))

if (isset($_POST['login']) or isset($_POST['pass']))
{
echo "Не заполнено одно или несколько полей.<br><br>";
}

Если (существует отправка поля под именем `логин` или существует отправка поля под именем `пароль`)
{
выводим "Не заполнено одно или несколько полей.<br><br>"
}

тогда уж не

 if ((isset($_POST['login']) and !$_POST['login'])or(isset($_POST['pass'] and !$_POST['pass']))

А

if ( ( isset($_POST['login']) and !empty($_POST['login']) ) or ( isset($_POST['pass']) and !empty($_POST['pass']) )

sharki
Согласен, забыл про возможность вводить нолики =)

if (!isset($_POST['login']) or !isset($_POST['pass']))
{
echo "Не заполнено одно или несколько полей.<br><br>";
}

а так можно?

Ну и чтобы не создавать множество тем, задам вопрос здесь:

<?
include ('header.php');
include ('settings.php');
if (isset($_POST['submit']))
{
if (!isset($_POST['login']) or !isset($_POST['pass']))
{
echo "Не заполнено одно или несколько полей.<br><br>";
}
else
{
$login = mysql_real_escape_string($_POST['login']);
$pass = mysql_real_escape_string($_POST['pass']);
$login = trim($login);
$pass = trim($pass);
$md5 = md5($pass);
$sql = mysql_query("INSERT INTO users (login, pass) VALUES ('$login', '$md5')");
echo "<b>Спасибо за регистрацию!</b><br>Ваш логин: <b>$login</b><br>Ваш пароль: <b>$pass</b><br><br>";
}
}
echo <<<TEXT
<form method='post' action='registration.php'>
Логин (макс. 10 символов):<br><input type='text' maxlenght=10 name='login'><br>
Пароль:<br><input type='text' name='pass'><br>
<input type='submit' name='submit' value='Зарегистрироваться'><br>
TEXT;
include ('footer.php');
?>

Предположим пользователь вводит данные логин: te st и пароль <<<gfhjkm>>>. В базу должны занестись данные test (пробелы ведь мы убрали) и <<<gfhjkm>>> (экранируем знаки < и >). Но получилось так:

Ваш логин: te st
Ваш пароль: <<>>

Почему остались пробелы? Почему исчезли буквы в пароле?

Во-первых, почему пробелы должны ыли исчезнуть?
Во-вторых, исходный код страницы гляньте. <gfhjkm> интерпритируется браузером как тэг.

$login = mysql_real_escape_string($_POST['login']);
$pass = mysql_real_escape_string($_POST['pass']);
$login = trim($login);
$pass = trim($pass);
$md5 = md5($pass);

будет ли это правильной обработкой данных? Или стоит ещё что то изменить?

DarkStalker
trim() на первые места, а потом уже mysql_real_escape_string()

Скажте мне кто-нибудь, какой вред может выйти, если поле с паролем не обработать trim'ом ?

velbox, спасибо. Исправил на

if($_POST['login'] == '' || $_POST['pass'] == '')

Trianon, предположим пользователь авторизуется и вводит пароль, но после или до пароля нечаянно ставит пробел. Ему выдаст ошибку, так как пароль в базе и пароль введенный пользователем из-за пробела не будут совпадать.

А вот ещё вопрос.

<?
include ('header.php');
include ('settings.php');
if (isset($_POST['submit']))
{
if (!($_POST['login']) or !($_POST['pass']))
{
echo "Не заполнено одно или несколько полей.<br>";
}
else
{
$login = trim($_POST['login']);
$pass = trim($_POST['pass']);
$md5 = md5($pass);
$sql = mysql_query("SELECT * FROM users WHERE login = '$login'", $db);
$num = mysql_num_rows($sql);
if ($num = 0)
{
echo "Пользователь с таким логином не зарегистрирован!<br>";
}
else
{
$sql = mysql_query("SELECT * FROM users WHERE login = '$login'", $db);
$array = mysql_fetch_array($sql);
if ($md5 = $array['pass'])
{
echo "Вы вошли!<br>";
}
else
{
echo "Пароль неверный!<br>";
}
}
}
}

echo <<<TEXT
<form method='post' action='login.php'>
Логин (макс. 10 символов):<br><input type='text' maxlenght=10 name='login'><br>
Пароль:<br><input type='text' name='pass'><br>
<input type='submit' name='submit' value='Войти'><br>
TEXT;
include ('footer.php');
?>

не работает проверка пароля. Ввожу верный логин и неверный пароль, пишет вы вошли! А если ввести неверный и логин и пароль то выводит пароль неверный. Хотя должен ведь написать, что такой логин не существует. Где я запутался?

Запрос не верный, у тебя по логину идет проверка только...

$sql = mysql_query("SELECT * FROM users WHERE login = '$login'", $db);

Попробуй так -

$sql = mysql_query("SELECT * FROM users WHERE login = '$login' and pass='$pass'", $db);

Lightt, спасибо.

DarkStalker ты если только начинаешь программировать, присматрись в мой пример. Имею в виду безопасность....

velbox, можно тогда прокомментировать строчки

function safesql($source) {
				$source = trim($source);
				if(get_magic_quotes_gpc()) $source = stripslashes($source);
				return mysql_real_escape_string($source);

DarkStalker полазий по справочнику. Я тебе весь код написал, так ты еще и ленишься сам все посмотреть. Тебе будет больше пользы, если сам попытаешь прокомментировать.