Question

我正在开发一个测试项目，试图了解有关PHP和Mysql的更多信息。所以我决定为我的测试网站构建一个身份验证引擎，但我遇到了查询问题。

基本上，如果我跑......

SELECT * FROM users WHERE name="tester" and passwd=md5('pass');

从mysql控制台，我得到......

+--------+---------------+----------------------------------+
| name   | email         | passwd                           |
+--------+---------------+----------------------------------+
| tester | test@test.com | 1a1dc91c907325c69271ddf0c944bc72 |
+--------+---------------+----------------------------------+
1 row in set (0.00 sec)

然而，当我从我的PHP代码（见下文）发出相同的查询（至少我认为它是相同的）时，我似乎得到一个NULL结果，因此身份验证失败。

<?php
    include 'db_connect.php';

    $username = $_POST['username'];
    $passwd = $_POST['passwd'];

    // To protect MySQL injection (more detail about MySQL injection)
    //$username = stripslashes($username);
    //$passwd = stripslashes($passwd);
    //$username = mysql_real_escape_string($username);
    //$passwd = mysql_real_escape_string($passwd);

    //Encrypted password
    $secpasswd = md5($passwd);

    $sql="SELECT * FROM users WHERE name='$username' and passwd = $secpasswd";

    $result=mysql_query($dbconnect,$sql);
    var_dump($result);

    // Mysql_num_row is counting table row
    $count=mysql_num_rows($result);
    //var_dump($count);

    // If result matched $myusername and $mypassword, table row must be 1 row
    if($count==1){

        // Register $myusername, $mypassword and redirect to file "login_success.php"
        session_register("username");
        session_register("passwd"); 
        header("location:login_success.php");
        }
    else {
        echo "Wrong Username or Password";
        }
    ob_end_flush();
?>

Answer 1

您的代码存在很多问题。

您的SQL查询格式错误
您实际上并未从查询结果中获取任何值
你的哈希很弱
您没有使用准备好的陈述
您使用的是过时的会话功能

以下是必须如何

<?php
include 'db_connect.php';

//Encrypted password
$secpasswd = sha512($_POST['passwd'].$_POST['username']);

$sql = "SELECT * FROM users WHERE name = ? and passwd = ?";
$stm = $pdo->prepare($sql);
$stm->execute(array($_POST['username'], $secpasswd));
$row = $stm->fetch();

if($row){
    $_SESSION["username"] = $row[username];
    header("location:login_success.php");
    exit;
} else {
    echo "Wrong Username or Password";
}

请注意，此代码使用PDO进行数据库交互

Answer 2

您的查询不相同：

SELECT ... passwd=md5('pass')

不与

相同

SELECT ... passwd=password_hash_here

在第一种情况下，mysql 知道你从md5调用中得到一个字符串。在第二种情况下，您只是将一个简单的字符串填充到查询中，MySQL被强制将其视为字段名称（如果以字母字符开头）或无效数字（如果以数字开头）。

尝试

SELECT ...passwd='$password_hash'

代替。

Answer 3

正如肖恩在上面的评论中指出的那样，你需要用单引号包装你的$ secpasswd。所以

$sql="SELECT * FROM users WHERE name='$username' and passwd = $secpasswd";

变为

$sql="SELECT * FROM users WHERE name='$username' and passwd = '$secpasswd';";

但我回答的主要原因是让你知道你正在使用的mysql方法已被弃用。你应该看一下使用mysqli或PDO。

Answer 4

马上注意到我发现你的密码字符串没有用引号括起来。尝试更改此内容：

    $sql="SELECT * FROM users WHERE name='$username' and passwd = $secpasswd";

到这个

    $sql="SELECT * FROM users WHERE name='$username' and passwd = '$secpasswd'";

PHP / Mysql身份验证脚本从查询中获取NULL结果

4 个答案: