PHP和SQLite：登录

Question

我需要用PHP和SQlite做一个登录表单。注册有效，我可以选择所有创建的用户并回显它们。当我试图检查用户名和密码（我通过$u POST获得的）是否匹配时：它回显我现在已登录。但当我输入错误的user/pw时，它会回显“invalid”-字符串，但也有以下错误：

Notice: Undefined variable: row in D:\xampp\htdocs\phpProjektSnippets\blogLogin.php on line 17

第17行是我得到if（$row['username']的地方...

这是我的代码：

$db = new PDO('sqlite:mysqlitedb.db');
$db->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION );

$username = $_POST['username'];
$password = $_POST['password'];

$sql = "SELECT * FROM users WHERE user_name = :name AND user_password = :pass";
$statement = $db->prepare($sql);
$statement->execute(array('name' => $username, 'pass' => $password));

try {
    $statement = $db->prepare($sql);
    $statement->execute(array('name' => $username, 'pass' => $password));

    foreach ($statement as $row);

    if ($row['user_name'] == $username && $row['user_password'] == $password){
        echo "Welcome " .$row['user_name']. ", You are now logged in.<br/ >";
    }else{
        echo "User Name or Password is invalid";
    }  
}
catch(PDOException $e) {
    echo "Something went wrong: ".$e->getMessage();
}

这里怎么了？

Answer 1

问题在于这行中的分号：foreach（$row形式的语句）

Foreach只是什么都不做，而不是后续的if。

Answer 2

在你的问题上，增加了六个人的答案。

此行捕获您的代码错误

catch(PDOException $e) {
    echo "Something went wrong: ".$e->getMessage();
}

如果要在用户凭据无效的情况下写入错误，请使用If true…else…语句。

if(some argument){
    //do something if the argument result is true;
    }else{
    do something if the argument is not true;}

所以你的代码应该是这样的。

<?php
$db = new PDO('sqlite:mysqlitedb.db');
$db->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION );
$username = $_POST['username'];
$password = $_POST['password'];
$sql = "SELECT * FROM users WHERE user_name = :name AND user_password = :pass";

try {
    $statement = $db->prepare($sql);
    $statement->execute(array('name' => $username, 'pass' => $password));
    $row = $statement->fetch();
        if ($row['user_name'] == $username && $row['user_password'] == $password){
            echo "Welcome " .$row['user_name']. ", You are now logged in.<br/ >";
        }else{
            echo "User Name or Password is invalid";
        }           
}
catch(PDOException $e) {
    echo "Something went wrong: ".$e->getMessage();
}
?>

如果这是有效的，记得纠正你的散列问题。

也许这张图片可以更好地帮助你理解上面的代码

Answer 3

首先，您不应该使用与您的SQL查询类似的SQL查询。它易受SQL注入攻击，因此不安全！

请阅读关于如何在PHP中防止SQL注入的答案，以获得一些非常有用的技巧。

问题在于，用户向服务器提交的任何内容都会附加到SQL字符串中，这可能是恶意代码，使攻击者能够访问您的数据库或删除数据，或者可能发生其他不好的情况。有关更多信息，请参阅上面的链接。

在您的情况下，代码如下所示：

<?php
    $db = new PDO('sqlite:mysqlitedb.db');
    $db->setAttribute( PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION );

    $username = $_POST['username'];
    $password = md5($_POST['password']);

    $sql = "SELECT * FROM users WHERE user_name = :name ";

    try {
        $statement = $db->prepare($sql);
        $statement->execute(array('name' => $username));

        foreach ($statement as $row){
           echo $row['user_name'] . '<br />';
        }
    }
    catch(PDOException $e) {
        echo "Something went wrong: ".$e->getMessage();
    }
?>

编辑：因为您使用$db配置了PDO-