PHP Script für Passwort Abfrage mit MySQL Datenbank

[mobby]

Hey,

so nachdem ich hier jetzt schon ein wenig unterwegs war komm ich mal zum finalen Schlag ;)

Also ich habe jetzt eine MySQL Datenbank mit Benutzer Daten und den dazugehörigen Passwörtern erstellt.
Dann habe ich ein "Login Formular" geschrieben mit dem sich eingeloggt werden kann:

<form action="test.html=login" method="post">    
  <fieldset>        
    <legend>Kundenzugang</legend>        
    <label>Username: <input type="text" name="Username" /></label>        
    <label>Password: <input type="password" name="Password" /></label>        
    <input type="submit" name="formaction" value="Login" />    
  </fieldset>
</form>

Sieht dann so aus.

Dazu habe ich eine script.php Datei in der ich mal den Zugang zur Datenbank getestet habe. Den Code hab ich aus dem Forum:

<?php
require_once('./config.php');

 $datenbank = mysql_connect($db_config['server'], $db_config['user'], $db_config['password'])    
     or die("Keine Verbindung möglich: " . mysql_error());
        echo "Verbindung zum Datenbankserver erfolgreich";
            mysql_select_db($db_config['database']) or die("Auswahl der Datenbank fehlgeschlagen");

$query = 'SELECT * FROM `Benutzer`';
    $result = mysql_query($query) or die("Anfrage fehlgeschlagen: " . mysql_error());
    echo "<table border = '1'>\n";
        while ($line = mysql_fetch_array($result, MYSQL_ASSOC))
         {
            echo "\t<tr>\n";
                foreach ($line as $col_value)
                 {
                    echo "\t\t<td>$col_value</td>\n";
                }
            echo "\t</tr>\n";
        }
    echo "</table>\n";

mysql_close($datenbank);

?>

Dazu habe ich eine config.php in der ich die Server Daten abgespeichert habe. Sicherheitshalber.
Wenn ich die script.php aufrufe, dann bekomme ich folgende Ausgabe:

klick mich

Das sind jetzt mal die Benutzer die ich angelegt habe.

Jeeeetttzzzzttt kommts:

Ich hab mir zwar schon einige Tutorials durchgelesen usw. aber alleine bekomme ich es leider noch nicht hin, den Code zu schreiben, der das jetzt alles verknüpft.
Ich würde gerne bei verschiedenen Benutzern bestimmte Verlinkungen angeben, also auf eine .html oder einen Download Bereich.
Bzw. erst mal überhaupt, dass es funktioniert, dass man sich mit den Benutzer Daten einloggen kann und dann eben etwas passiert ^^

Vieeleeen Dank für jegliche Hilfe !!!

 

[NetAktiv]

Ich würde gerne bei verschiedenen Benutzern bestimmte Verlinkungen angeben

Na dann bist noch lange nicht fertig, sondern musst dir erst mal ein vernünftiges Rechtekonzept überlegen und bei jedem Benutzer speichern, was er darf und was nicht. Das musst dann auch bei jedem Zugriff prüfen, nicht dass user1 dem user2 den Link verrät, für den user2 keine Berechtigung hat.

Auf deinem Bild sieht man allerdings lediglich die Liste der Benutzer, weder dein Anmeldeformular, noch die Antwort nach dem Anmelden. Mach mal das Anmeldeformular mit zwei Feldern UserName Passwort und dann ändere die Abfrage in der Datenbank so, dass der Select im Where diese beiden Parameter als Selektionskriterium annimmt. Zum Auswerten von Formulardaten gibt es ja tonnenweise Beispiele.

 

[mobby]

hmm, also ich glaube ich werde nicht ganz richtig verstanden ^^
Also ich brauch es nicht so kompliziert. Ich will den Benutzer nicht auf die Datenbank zugreifen lassen.
Ich will die Datenbank nur dazu nutzen um die Benutzer abzuspeichern. Ähnlich wie bei einer .htpasswd Datei.

Und mit Verlinkung mein ich, dass ich z.B. 2 .html Dateien habe, die ich als Ziel angebe. Das heißt wenn "User1" seinen Benutzernamen + Passwort eingibt und dann "Login" drückt, er auf die xyz.html weitergeleitet wird.
Und eben "User" mit seinen Zugangsdaten auf phgf.html ...

Weiß nicht, mir fällt grad auf, dass wenn ich das so mache man vlt. den Passwortschutz umgehen könnte wenn man die direkte Adresse des Links hätte .... fuuuuuck
hm, vlt. muss ich es dann doch so machen wie "NetAktiv" es sagt .... damid ... ja btw. sorry aber das habe ich nicht ganz verstanden was du gesagt hast :(
Sry aber bin noch Anfänger!

Ich bin ratlos ^^

 

[NetAktiv]

eben, zum einen musst dir merken, ob einer schon angemeldet ist und dann musst wissen, wer was darf. Willst doch user1 nach xyz.htm lassen und user2 nach uvw.htm, also musst doch irgrndwo mit user1 das xyz merken und mit user2 das uvw. Und das kann dann beliebig komplex werden :-)

 

[mobby]

hmmm,

okay. Aber ja, das möchte ich ... Hilfeeeeee ^^
Also es wäre echt nett, wenn mir das jemand mal im genauen erklären könnte, oder ein Tutorial zur Hand hätte in dem diese Vorgehensweise beschrieben wird?!
Danke aber schon Mal für die Hinweise! :)

 

[Tronjer]

Ich bin ratlos ^^

Weil du falsch an die Sache herangehst. Versuche mal, das Problem zu strukturieren.

Eine Datenbank hast du wohl ja bereits angelegt. Der nächste Schritt wäre nun, ein HTML-Formular zu erstellen, welches die Eingaben des Benutzers in $_POST speichert und dieses Array mit var_dump() auszugeben, um zu sehen ob das überhaupt funktioniert. Anschließend stellst du die Verbindung zur Datenbank her und vergleicht den Inhalt von $_POST mit den Einträgen in der Tabelle.

 

[NetAktiv]

Ich denke, dein Wunsch und dein Wissenstand sind im Moment einfach zu weit auseinander. Mach doch erst mal die Login-Maske fertig und merke dir mit der $_SESSION Collection, ob einer schon angemeldet ist. Dazu gibt es haufenweise Beispiele und Tutorials. Wenn du das hast und dann noch Lust hast, weiter zu machen, dann geh an die nächsten Schritte. Aber als absoluter Anfänger gleich an eine Komplettlösung zu gehen, .... Kleine überschaubare Schritte sind angesagt, wenn man Anfänger ist. Kommst ja auch nicht in den Englisch-Unterricht und meinst, nach 3 Stunden kannst den Shakespeare im Original lesen.

Im Hintergrund kannst schon immer mal dran denken, was deine Benutzer denn können sollen und denk, die wären alle böse Menschen und hätten nichts anderes im Sinn, als an deine Seiten zu kommen, ohne berechtigt zu sein :-).

 

[janm]

ein beispiel ist hier: PHP-Einfach.de - PHP Login Script mit Prepared-Statements, MySQLi und HTML5auf der seite sind aber noch andere Codeschnipsel zum thema loginspeicher am besten in der session auch die user_berechtigungnaja und dann wenn user_berechtigung gleich 1 dann gehe zu xyz.php oder wenn user_berechtigung gleich 2 dann gehe zu uvw.php und auf den seiten steht dann oben wenn user_berechtigung gleich 1 bzw 2 dann gebe das richtige aus bzw gebe fehlermeldung aus je nach dem

 

[Tronjer]

Ich denke, dein Wunsch und dein Wissenstand sind im Moment einfach zu weit auseinander.

Zumal das Script - auch wenn es funktionieren sollte - denkbar schlecht gecodet ist.

 

[mobby]

So, ich habe jetzt mal aus ein paar Tutorials heraus ein Script zusammengewurstelt mit dem ich mich, ich denke doch mal recht sicher, einloggen kann:

<?php    SESSION_START();
        require_once('./config.php');
    $link = mysql_connect($db_config['server'], $db_config['username'], $db_config['password']);
    if (!$link)
        {
        die("Keine Datenbankverbindung möglich: " . mysql_error());
        }
    $datenbank = mysql_select_db($db_config['database'], $link);
    if (!$datenbank)
        {
        echo "Kann die Datenbank nicht benutzen: " . mysql_error();
        mysql_close($link);
                exit;
                          }
    if (!empty($_POST["submit"]))
        {
        $_username = mysql_real_escape_string($_POST["username"]);
        $_passwort = mysql_real_escape_string($_POST["passwort"]);
        $pw = md5($_passwort);
        $_sql = "SELECT * FROM login_usernamen WHERE
                    username='$_username' AND
                    passwort='$pw' AND
                    user_geloescht=0
                LIMIT 1";
        $_res = mysql_query($_sql, $link);
        $_anzahl = @mysql_num_rows($_res);
        if ($_anzahl > 0)
            {
            include("kundenzugang_login_user1.html");
                    $_SESSION["login"] = 1;
            $_SESSION["user"] = mysql_fetch_array($_res, MYSQL_ASSOC);
            $_sql = "UPDATE login_usernamen SET letzter_login=NOW()
                     WHERE id=".$_SESSION["user"]["id"];
            mysql_query($_sql);
            }
        else
             {
            include("kundenzugangfail.html");
            }
        }
    if ($_SESSION["login"] == 0)
        {
                include("waskommtheirhin.html");
        mysql_close($link);
        exit;
        }
?>

Okay, nochmal ein kleiner "Edit" aber jetzt habe ich alles so, wie ich es in einfacher Ausführung haben wollte.
Jetzt muss ich es nur noch hinbekommen, dass entsprechenden User entsprechende .html Dateien als Weiterleitung bekommen.
Aber wie?

 

[janm]

Hallo,

speichere in der Datenbank die User-Berechtigung am besten!

ersetze am besten

echo "Der Login war erfolgreich.<br />";

mit teilen aus dem folgenden:

$_SESSION["user_berechtigung"]= //Datenbankabfrage
if($_SESSION["user_berechtigung"]=="1"){
$goto="xyz.php";
}
else{
$goto="phg.php";}

Die Weiterleitung
wenn davor noch nichts an den Browser gesendet wurde, kannst du es mit

header('Location: '.$goto.'');

erzeugen ansonsten

echo '<meta http-equiv="refresh" content="1; URL=xyz.php"';

oder mit Javascript:

echo '<script type="text/javascript">document.location="xyz.php";</script>'

Logout (neue PHP-Datei. logout.php):

session_start();
session_destroy();

 

[mobby]

okay, danke für die Tipps, ich glaube damit kann ich realisieren was ich haben wollte.
Eine Frage nur noch, kann ich auch include() als "Weiterleitung" benutzen?

//edit:

So, habe das mal versucht mit den "Berechtigungen". Habe in der Datenbank einen weiteren Eintrag gemacht und ihn "berechtigung" genannt. als "INT" definiert.
User habe ich da "1" zugewiesen und User2 habe ich "2" zugewiesen.
Das komische Datums kram hab ich auch mal rausgelöscht, so reicht es ja.
Wenn ich jetzt so alles ausführe, kommt aber nur eine leere weiße Seite wenn ich mich richtig einlogge.
???

<?php
    SESSION_START();
        require_once('./config.php');
    $link = mysql_connect($db_config['server'], $db_config['username'], $db_config['password']);
    if (!$link)
        {
        die("Keine Datenbankverbindung möglich: " . mysql_error());
        }
    $datenbank = mysql_select_db($db_config['database'], $link);
    if (!$datenbank)
        {
        echo "Kann die Datenbank nicht benutzen: " . mysql_error();
        mysql_close($link);
                exit;
                          }
    if (!empty($_POST["submit"]))
        {
        $_username = mysql_real_escape_string($_POST["username"]);
        $_passwort = mysql_real_escape_string($_POST["passwort"]);
       $pw = md5($_passwort);
        $_sql = "SELECT * FROM login_usernamen WHERE
                    username='$_username' AND
                    passwort='$pw'
                   LIMIT 1";
        $_res = mysql_query($_sql, $link);
        $_anzahl = @mysql_num_rows($_res);
        if ($_anzahl > 0)
            {
            if($_SESSION["berechtigung"]=="1")
                 {                    
                 echo "user1 login bereich ";
                 }
            if($_SESSION["berechtigung"]=="2")
                 {
                 echo "user2 login bereich";
                 }
            $_SESSION["login"] = 1;
            }
        else
             {
             include("kundenzugangfail.html");
             }
        }
    if ($_SESSION["login"] == 0)
        {
        mysql_close($link);
        exit;
        }
?>

Ps. Das mit dem Logout machen wir später ;) aber danke schon mal !!!

 

[janm]

Hallo,

du musst nach $_SESSION["login"] = 1;
[php]
noch das eine der varianten einfügen was in meinem anderen Beitrag unter WEITERLEITUNG stand oder es auch includen.
Wenn du dich für die Weiterleitung entscheidest, muss jede Datei danach mit
[php]
<?php
session_start(); // muss auf JEDEN FALL rein(!) sonst kommt php error wenn du dann mit sessions arbeitest
if ($_SESSION["brechtigung"]!=1){ // oder auch 2, je nach dem :-)
    echo 'Berechtigungsfehler! <a href="http://www.html.de/php/...">Zurück</a>'; // href="..." ersetzen, eine der Weiterleitungsmöglichkeiten oder include nutzen
    exit;
}

beginnen. Dies empfiehlt sich für einen umfassenden Bereich.
Wenn der Passwortgeschützte Bereich allerdings klein ist und nur eine Seite dahinter steht, empfiehlt es sich allerdings auch include zu nutzen.
Hier sollte allerdings auch jede Datei php sein, um Zufallstreffer von Adresszeilenspielern zu vermeiden. Definiere irgendeine Variable, um in der includeten Datei zu testen, ob sie da ist:

<?php
if (!isset($bliblablub)){
    echo 'Berechtigungsfehler! <a href="http://www.html.de/php/...">Zurück</a>'; // href="..." ersetzen, eine der Weiterleitungsmöglichkeiten oder include nutzen
}

Wenn du noch Fragen hast, ich hab ein ofenes Ohr in diesem Thread.

 

[mobby]

also sorry, aber das was du da beschrieben hast hilft mir nicht weiter und ist eigentlich keine Antwort auf meine Frage.

Denn so wie ich es oben im Code beschrieben habe (hab noch mal etwas geändert damit es deutlich sichtbar ist) leitet er nicht mal weiter.
Also es erkennt das mit den "berechtigungen" nicht. Da findet kein Datenbankabgleich statt, weil ich glaube was vergessen habe. Weiß aber nicht was, darum geht es mir.
Es soll einfach "berechtigungen" abgleichen/abfragen und dementsprechend weiterleiten.

Ja wie gesagt anstatt der "weiterleitung" hab ich einfach ein echo eingegeben, damit man sieht ob das mit den "berechtigungen" angenommen wurde.
Es wird so aber nichts ausgegeben.

 

[janm]

[FONT=Tahoma, Calibri, Verdana, Geneva, sans-serif]

<?php	session_start();	require_once('./config.php');	$link = mysql_connect($db_config['server'], $db_config['username'], $db_config['password']);	if (!$link){		die("Keine Datenbankverbindung möglich: " . mysql_error());	}	$datenbank = mysql_select_db($db_config['database'], $link);	if (!$datenbank){		echo "Kann die Datenbank nicht benutzen: " . mysql_error();		mysql_close($link);		exit;	}	if (!empty($_POST["submit"])){		$_username = mysql_real_escape_string($_POST["username"]);		$_passwort = mysql_real_escape_string($_POST["passwort"]);		$pw = md5($_passwort);		$_sql = "SELECT * FROM login_usernamen WHERE					username='$_username' AND					passwort='$pw'					LIMIT 1";		$_res = mysql_query($_sql, $link);		$_anzahl = @mysql_num_rows($_res);		if ($_anzahl > 0){			if($_SESSION["berechtigung"]=="1"){									$goto="user1.php";			}			elseif($_SESSION["berechtigung"]=="2"){				$goto="user2.php";			}			$_SESSION["login"] = 1;			echo '<meta http-equiv="refresh" content="1; URL='.$goto.'"';			exit;		}		else{			include("kundenzugangfail.html");		}	}?>

So, ich hoffe, das klappt. Wenn nicht bitte Fehlermeldung posten![/FONT]

 

[mobby]

also ich habs mal für mich übernommen:

<?php
    session_start();
    require_once('./config.php');
    $link = mysql_connect($db_config['server'], $db_config['username'], $db_config['password']);
    if (!$link)
    {
        die("Keine Datenbankverbindung möglich: " . mysql_error());
    }
    $datenbank = mysql_select_db($db_config['database'], $link);
    if (!$datenbank)
    {
        echo "Kann die Datenbank nicht benutzen: " . mysql_error();
        mysql_close($link);
        exit;
    }
    if (!empty($_POST["submit"]))
    {
        $_username = mysql_real_escape_string($_POST["username"]);
        $_passwort = mysql_real_escape_string($_POST["passwort"]);
        $pw = md5($_passwort);
        $_sql = "SELECT * FROM login_usernamen WHERE
                    username='$_username' AND
                    passwort='$pw'
                    LIMIT 1";
        $_res = mysql_query($_sql, $link);
        $_anzahl = @mysql_num_rows($_res);
        if ($_anzahl > 0){
            if($_SESSION["berechtigung"]=="1"){
                $goto="kundenzugang_login_user1.html";
            }
            elseif($_SESSION["berechtigung"]=="2"){
                $goto="kundenzugang_login_user2.html";
            }
            $_SESSION["login"] = 1;
            echo '<meta http-equiv="refresh" content="1; URL='.$goto.'"';
            exit;
        }
        else{
            include("kundenzugangfail.html");
        }
    }
?>

Und nein, es funktioniert nicht ^^ genau das gleiche wie davor.
Kann es vlt. was damit zu tun haben, wie ich die "Berechtigung" abgespeichert habe?
Also als "INT" oder "CHAR" ?

 

[threadi]

Ich würde dir raten sowohl die Speicherung als auch den Vergleich des Passwortes mit MySQL selbst vorzunehmen. Derzeit wandelst Du den eingegebenen String mit der PHP-Funktion MD5() in einen MD5-Sting um. Besser wäre:

$_username = mysql_real_escape_string($_POST["username"]);
        $_passwort = mysql_real_escape_string($_POST["passwort"]);
        $_sql = "SELECT * FROM login_usernamen WHERE
                    username='".$_username."' AND
                    passwort=MD5('".$pw."')
                    LIMIT 1";

Eine Weiterleitung würde ich, gerade weil Du PHP einsetzt, auch mit PHP vornehmen. Also statt

            echo '<meta http-equiv="refresh" content="1; URL='.$goto.'"';

das

header("Location: ".$goto);

Allerdings dürfte hier bei deinem Code eine Weiterleitung nur funktionieren, wenn in der Session-Variable "berechtigung" wirklich 1 oder 2 steht. Andernfalls wird $goto mit nichts gefüllt um es würde zu keiner Weiterleitung kommen. Um das abzusichern würde ich dir empfehlen noch eine Standardweiterleitung zu definieren. Am Besten so:

$goto = "index.html";
if($_SESSION["berechtigung"]=="1"){
                $goto="kundenzugang_login_user1.html";
            }
            elseif($_SESSION["berechtigung"]=="2"){
                $goto="kundenzugang_login_user2.html";
            }

Wenn jetzt in $_SESSION["berechtigung"] nicht 1 oder 2 steht, würde eine Weiterleitung auf die index.html geschehen (Dateiname kannst Du natürlich selbst definieren).

Um zu prüfen, was in $_SESSION["berechtigung"] steht, solltest Du den Wert mit var_dump überprüfen. Kommentiere dazu den ganzen von dir verwendeten Code nach session_start() aus und schreib direkt nach session_start()

var_dump($_SESSION);

Wenn Du dort keine Variable "berchtigung" siehst, weißt Du wo das Problem liegt - du hast schlicht diese Variable nicht gesetzt.

 

[mobby]

Hey,

vielen Dank für die Tips. Punkt eins und Punkt zwei hab ich umgesetzt und es funktioniert noch. Allerdings stimmt mit der "$_SESSION" irgendwas überhaupt nicht! ^^
Wenn ich das mit "var_dump($_SESSION);" mache, dann wird folgendes ausgegeben:
"array(1) { ["login"]=> &int(1) }" ... was sagt mir das jetzt?

Also ich glaube auch, dass irgendwas mit dem "$goto" nicht stimmt. Mache ich folgendes:

<?php
    session_start();
    require_once('./config.php');
    $link = mysql_connect($db_config['server'], $db_config['username'], $db_config['password']);
    if (!$link)
    {
        die("Keine Datenbankverbindung möglich: " . mysql_error());
    }
    $datenbank = mysql_select_db($db_config['database'], $link);
    if (!$datenbank)
    {
        echo "Kann die Datenbank nicht benutzen: " . mysql_error();
        mysql_close($link);
        exit;
    }
    if (!empty($_POST["submit"]))
    {
        $_username = mysql_real_escape_string($_POST["username"]);
        $_passwort = mysql_real_escape_string($_POST["passwort"]);
        $_sql = "SELECT * FROM login_usernamen WHERE
                    username='".$_username."' AND
                    passwort=MD5('".$_passwort."')
                    LIMIT 1";  
        $_res = mysql_query($_sql, $link);
        $_anzahl = @mysql_num_rows($_res);
        if ($_anzahl > 0)
        {
            $goto="test.html"; // hier der Fehler ??!! // 
            if($_SESSION["berechtigung"]=="a"){
                $goto="kundenzugang_login_user1.html";
            }
            elseif($_SESSION["berechtigung"]=="b"){
                $goto="kundenzugang_login_user2.html";
            }
            $_SESSION["login"] = 1;
            header("Location: ".$goto);  
            exit;
        }
        else
        {
            include("kundenzugangfail.html");
        }
    } 
?>

Dann kommt wieder ein weißes Blatt.
mache ich das:

<?php
    session_start();
    require_once('./config.php');
    $link = mysql_connect($db_config['server'], $db_config['username'], $db_config['password']);
    if (!$link)
    {
        die("Keine Datenbankverbindung möglich: " . mysql_error());
    }
    $datenbank = mysql_select_db($db_config['database'], $link);
    if (!$datenbank)
    {
        echo "Kann die Datenbank nicht benutzen: " . mysql_error();
        mysql_close($link);
        exit;
    }
    if (!empty($_POST["submit"]))
    {
        $_username = mysql_real_escape_string($_POST["username"]);
        $_passwort = mysql_real_escape_string($_POST["passwort"]);
        $_sql = "SELECT * FROM login_usernamen WHERE
                    username='".$_username."' AND
                    passwort=MD5('".$_passwort."')
                    LIMIT 1";  
        $_res = mysql_query($_sql, $link);
        $_anzahl = @mysql_num_rows($_res);
        if ($_anzahl > 0)
        {
            echo "test"; // hier so kommt was //
            if($_SESSION["berechtigung"]=="a"){
                $goto="kundenzugang_login_user1.html";
            }
            elseif($_SESSION["berechtigung"]=="b"){
                $goto="kundenzugang_login_user2.html";
            }
            $_SESSION["login"] = 1;
            header("Location: ".$goto);  
            exit;
        }
        else
        {
            include("kundenzugangfail.html");
        }
    } 
?>

Dann wird "test" ausgegeben. Also stimmt irgendwas mit "$goto" nicht.

 

[threadi]

Zu SESSION: dadurch weißt Du nun, dass es die Variable "berechtigung" nicht in der Session gibt. Folglich kann dein Code hier gar nicht zum gewünschten Erfolg kommen. Wo setzt Du denn diesen Wert in die Session?

Zu $goto: Doch, mit $goto stimmt alles. Hast Du denn auch eine Datei "test.html" die auch einen Inhalt hat?

 

[mobby]

hm, ja das wird wohl nicht gemacht mit der SESSION ... wie mache ich das?
In der Datenbank ist es auf jeden Fall angelegt.
Und ja eine test.html Datei ist online, im gleichen Ordner wie die login.php. Hab es auch extra noch mal über den direkt Link ausprobiert. Da wird was angezeigt.
Mache ich:

<?php
    session_start();
    require_once('./config.php');
    $link = mysql_connect($db_config['server'], $db_config['username'], $db_config['password']);
    if (!$link)
    {
        die("Keine Datenbankverbindung möglich: " . mysql_error());
    }
    $datenbank = mysql_select_db($db_config['database'], $link);
    if (!$datenbank)
    {
        echo "Kann die Datenbank nicht benutzen: " . mysql_error();
        mysql_close($link);
        exit;
    }
    if (!empty($_POST["submit"]))
    {
        $_username = mysql_real_escape_string($_POST["username"]);
        $_passwort = mysql_real_escape_string($_POST["passwort"]);
        $_sql = "SELECT * FROM login_usernamen WHERE
                    username='".$_username."' AND
                    passwort=MD5('".$_passwort."')
                    LIMIT 1";  
        $_res = mysql_query($_sql, $link);
        $_anzahl = @mysql_num_rows($_res);
        if ($_anzahl > 0)
        {
            include("test.html"); // jetzt mit include // 
             if($_SESSION["berechtigung"]=="a"){
                $goto="kundenzugang_login_user1.html";
            }
            elseif($_SESSION["berechtigung"]=="b"){
                $goto="kundenzugang_login_user2.html";
            }
            $_SESSION["login"] = 1; 
            exit;
        }
        else
        {
            include("kundenzugangfail.html");
        }
    } 
?>

Dann wir die "test.html" angezeigt, also mit include() geht es, mit $goto nicht. ... komisch!!! ^^