Wie um zu überprüfen, Benutzername und Passwort passt die Datenbank-Werte

Stack-Überlauf ist für die "professionelle und Enthusiasten Programmierer." Mit Respekt, Sie haben uns gezeigt, code in deiner Frage, dass ist nicht sogar nah an, dass Sie würdig der name.

StackOverflow die Menschen nicht haben viel von a Sinn für humor über schlechte Sicherheits-code. Sie bekommen starke Reaktionen auf den code wie deiner, weil, naja, Equifax, und von Ashley Madison, und Adobe, und alle der rest von den Orten, die geknackt wurden, die von Internetkriminellen. Warum wir auf Sie springen? Weil wir nicht wie Cyberkriminelle und wir wollen nicht, um das Leben einfach für Sie. Freunde lassen nicht Freunde tun, schlechtes Passwort-Sicherheit. Freunde nicht zeigen, Freunde grob unsicheres Passwort-Validierung code.

Was ist falsch mit Ihrem code? Sie speichern Passwörter als plain text, und Sie sind anfällig für SQL-injection. Ich werde die Adresse der ersten dieser Fragen.

Glücklicherweise bietet php-Einrichtungen, gutes zu tun, die Passwort-Sicherheit. Über Sie hier Lesen. http://php.net/manual/en/faq.passwords.php Sie verwenden. Wie gehen Sie mit Passwörtern?

1. Wenn sich ein Benutzer registriert auf Ihrer Website und das erste stellt eine Passwort-hash, so etwas wie dieses.

  $usersPassword = $_POST['password']);
  $hash = password_hash( $usersPassword , PASSWORD_DEFAULT );
  //you then store the username and the hash in your dbms. 
  //the column holding the hash should be VARCHAR(255) for future-proofing
  //NEVER! store the plain text (unhashed) password in your database

1. Wenn ein Benutzer versucht, sich in Sie eine Abfrage wie diese:

   SELECT log_password FROM log_user WHERE log_username = TheUsernameGiven

   Dann fügen Sie die abgerufenen Passwort in eine Spalte mit dem Namen $hash.

   Verwenden Sie dann php ' s password_verify() - Funktion um zu überprüfen, ob das Passwort Ihr-wäre-user gab nur Sie entspricht dem Passwort in Ihrer Datenbank.

   Schließlich, überprüfen Sie, ob das Kennwort des Benutzers muss aufgewärmt werden, weil die Methode, die Sie zuvor verwendet, um die hash-es ist obsolet geworden.

 $usersPassword = $_POST['password']);
 $valid = password_verify ( $usersPassword, $hash );
 if ( $valid ) {
   if ( password_needs_rehash ( $hash, PASSWORD_DEFAULT ) ) {
     $newHash = password_hash( $usersPassword, PASSWORD_DEFAULT );
     /* UPDATE the user's row in `log_user` to store $newHash */
   }
   /* log the user in, have fun! */
 }
 else {
  /* tell the would-be user the username/password combo is invalid */
 }

Diese Sequenz ist zukunftssicherer, denn es kann sofort wieder Passwörter später, wenn die alte hashing-Methode wird zu einfach für cybercreeps zu knacken.

InformationsquelleAutor O. Jones

Mehrere Probleme, einige wurden genannt, durch die Kommentare oben.

Mischen mysql_* vs. mysqli_* API

Rufen Sie die Abfrage mit mysqli_query() aber Sie versuchen zum abrufen von Ergebnissen mit mysql_fetch_assoc(). Sie können nicht mischen diese verschiedenen APIs. Die mysql_* Funktionen nicht verwenden, die Verbindung, die Sie geöffnet mit mysqli_connect() -und Umgekehrt. Wählen Sie eine MySQL-Erweiterung und-stick mit it.

Hinweis: verwenden Sie nicht mysql_* überhaupt. Es ist veraltet und wurde entfernt, von PHP 7.0+

Abfragen mit Bedingungen für beide Benutzername und Passwort

Nur die Suche nach dem Benutzernamen, und Holen Sie sich das Passwort. Wenn Sie die Suche nach beide, dann wird die Suche null Zeilen zurückgeben, es sei denn, das richtige Kennwort verwendet wurde.

Das wollen Sie nicht. Sie wollen, um zu vermeiden, dass das Klartext-Passwort in der SQL-Abfrage. Suchen Sie einfach auf den Benutzernamen, und Holen Sie sich das gespeicherte Passwort und dann vergleichen Sie das, was Sie "abrufen", um das Benutzer-Passwort einzugeben.

Nicht initialisierte Variablen

Wenn du da keine Zeilen von der Abfrage, dann $check_username und $check_password sind nie festgelegt. Dann vergleichen Sie die Variablen in der if-Anweisung. Kein schwerwiegender Fehler, aber schlechter Stil.

Keine Passwort-hashing

Sie erscheinen, zu vergleichen, werden die Benutzer-Eingabe, die ich annehmen, ist Klartext, direkt zu dem, was in der Datenbank gespeichert. Sie sind Wahrscheinlich die Speicherung der Passwörter Falsch.

Statt, wenn Sie Ihr Kennwort zu speichern, verwenden Sie password_hash() ersten.

Keine Abfrage Parameter

Ich weiß, Sie sagten, Sie kümmern sich nicht um Ihre SQL-injection-Schwachstelle, aber das ist wie ein Elektriker und sagen, Sie kümmern sich nicht, dass Ihre elektrischen panel ist gefüllt mit öligen Lappen. Werden Sie sicher, dass die post Ihre Missachtung für die Sicherheit auf Ihrem LinkedIn-Profil, so die Arbeitgeber wissen, wer zu vermeiden.

Empfohlen, die Umsetzung

mysqli_report(MYSQLI_REPORT_STRICT); //enable exceptions

$conn = new mysqli($servername, $mysql_username, $mysql_password, $databaseName);

$log_username = $_POST['username'];
$log_password = $_POST['password'];

$sql = "SELECT log_username, log_password_hash FROM login WHERE log_username=?";
$stmt = $conn->prepare($sql);
$stmt->bind_param('s', $log_username);
$stmt->execute();
$result = $stmt->get_result();

while ($row = $result->fetch_assoc()) {
    if (password_verify($log_password, $row['log_password_hash'])) {
        $message = "ok";
        //header must be called before any other output
        header("Location: Doctors.php");
        exit();
    }
}
$message = "No";
//header must be called before any other output
header("Location: Doctors.php");

InformationsquelleAutor Bill Karwin