Seguridad Programa en php

[kobety]

Buenas, estoy desarrollando un programa en php y sql , y quisiera subirlo a una web, decir que no todo el mundo tendría acceso, solo unas pocas personas y lo que me tiene más preocupado es la seguridad, ete es el siguiente para el login y eso, si me pudierais decir si tiene algún fallo de seguridad me gustaría saberlo, y si hay también alguna manera de protegerlo un poco más :P Muchas gracias!! Decir que en todas las páginas compruebo si hay una sesión abierta y si se está logueado, si no mando para afuera.

login.html

Código HTML:

<form action="login.php" method="POST">
    <table>
        <tr><td>Usuario:</td><td> <input required type="text" name="user" /><br /></td></tr>
        <tr><td>Contraseña:</td><td> <input required type="password" name="pass" /><br /></td></tr>
    </table>
    <br>
    <input type="submit" style=" font-weight:900;color: white; background-color: #0F37A1; border: 3pt ridge lightgrey" value="Acceder" />
    </form>
 

login.php

Código PHP:

session_start();
require_once('funciones.php');
conectar('localhost', 'user', 'pass', 'bbdd');
ini_set("default_charset", "utf-8");
$user = strip_tags($_POST['user']);
$pass = strip_tags(sha1($_POST['pass']));
 
$query = mysql_query('SELECT * FROM usuarios WHERE user="'.mysql_real_escape_string($user).'" AND pass="'.mysql_real_escape_string($pass).'"');
if($existe = mysql_fetch_object($query))
{//Si existe el usuario
    $_SESSION['user'] = $user; //Guardamos la variable de sesión
    
    
    
    $consulta = mysql_query('SELECT * FROM usuarios WHERE user="'.mysql_real_escape_string($user).'"');//Cogemos la fecha de la última conexion y el estado de la conexión;
        while($row=mysql_fetch_array($consulta)){   
            $fecha=$row['Sesion'];
            $conectado=$row['Conectado'];
        }
    
    if($conectado==1){ //Si esta como conectado, comprobamos su última conexión
        $datetime1 = date_create($fecha);
        
        $fechaact=date("d-m-Y H:i:s", time());      
        
        $datetime2 = date_create($fechaact);
        
        $interval = date_diff($datetime2, $datetime1);
 
        if(($interval->format('%d%H%i'))>=00010){//Si hace más de 10 minutos que se ha conectado, dejamos al usuario entrar de nuevo
            $uno=1;
            $meter= mysql_query('UPDATE usuarios 
            SET Conectado="'.mysql_real_escape_string($uno).'",
                Sesion="'.date_format($datetime2, 'Y-m-d H:i:s').'"
            WHERE  usuarios.user = "'.mysql_real_escape_string($user).'"')OR DIE ("fallo");
            
            $_SESSION['logged'] = 'yes';
            
            echo '<script>window.location="logeado.php"</script>';
        }else{
            echo"Este usuario está activo.";
            echo"<br><br><br>
            <a href='login.html'><input type='submit' style=' font-weight:900;color: white; background-color: #0F37A1; border: 3pt ridge lightgrey' value='Volver Al Inicio' onclick='location='login.html''></a>";
 
            exit;   
        }
        
        
    }else{
        $uno=1;
        $fechaact=date("d-m-Y H:i:s", time());
        $datetime2 = date_create($fechaact);
        //var_dump(date_format($datetime2, 'Y-m-d H:i:s'));
                
            $meter= mysql_query('UPDATE usuarios 
            SET Conectado="'.mysql_real_escape_string($uno).'",
                Sesion="'.date_format($datetime2, 'Y-m-d H:i:s').'"
            WHERE  usuarios.user = "'.mysql_real_escape_string($user).'"')OR DIE ("fallo");
        
            $_SESSION['logged'] = 'yes';
        
        echo '<script>window.location="logeado.php"</script>';
    }
    
}else{
        echo 'El usuario y/o pass son incorrectos.';
        
        echo"<form action='login.html'>";
        echo"<br><br><br><input type='submit' style=' font-weight:900;color: white; background-color: #0F37A1; border: 3pt ridge lightgrey' value='Volver Al Inicio' onclick='location='login.html''>";
        echo"</form>";
}
 

PD: para que conste, el css es que estoy en ello, pero para que tenga un poquito de formato le he puesto color a los inputs :P y perdón por el chorro

[CesarHC]

Lee este post, y como recomendacion intenta llamar los estilos desde un archivo css y no directamente en html,ademas de que seria mejor que vallas aplicando msqli o PDO para la conec a la base de datos.

[kobety]

Muchas Gracias! voy a echarle un vistazo a ver :)