在PHP ajax中分别验证用户名和密码

Question

我有一个登录表格。如下：

<form id="myform"  method="POST" class="form_statusinput">
   <div class="input-group">
     <span class="input-group-addon"><i class="fa fa-user"></i></span>
     <input type="email" class="form-control" id="email" name="email" 
      placeholder="Enter email" data-original-title="" title="" 
      onblur="checkEmail()">
      </div>
      <br>
      <div class="input-group">
      <span class="input-group-addon"><i class="fa fa-lock"></i></span>
      <input type="password" class="form-control" id="password" name="password" 
       placeholder="Password" data-original-title="" title="" 
       onblur="checkPass()">
     </div>
</form>       

我在提交表单时通过Ajax验证用户名和密码

$(document).ready(function(){ 
  $("form#myform").submit(function(event) {
  event.preventDefault();
  validate();
  });
});

在Validate函数中，可以正确地对空字符或无效字符进行验证，但我想向用户返回密码错误或用户名错误的错误。

Ajax调用如下：

$.ajax({
    url: "includes/fo_submit",
    type: "POST",
    data: dataString,
    success: function (msg) {
        if (msg == 1) {
            $("#loading").hide();
            window.location.reload();
        } else {
            $("#loading").hide();
            $("#messagesuccerr").html("Wrong Credentails")
            .fadeIn().delay(4000).fadeOut();
            return false;
        }
    }
}); 

fou submit具有PHP数据库连接和代码

$query = "select * from `register_userfm` where `userchkname_yt` = ? 
and passchk_ty = ?; ";
$result = DB::instance()->prepare($query)->execute(array($_POST['email'],
$_POST['password']))->fetchAll();
if(count($resultfm1)>0){
    echo 1;
}
else{
    echo 0;
}

这样，返回的唯一错误是“无效凭据”。请让我知道如何分别验证用户名和密码。

Answer 1

您可以使用状态代码，通过运行2个不同的查询从PHP脚本返回它们。类似以下内容：

$query = "select * from `register_userfm` where `userchkname_yt` = ? and passchk_ty = ?; ";
$result = DB::instance()->prepare($query)->execute(array($_POST['email'], $_POST['password']))->fetchAll();
if(count($result)>0){
    echo "1"; //auth success
}
else{
    $query = "select * from `register_userfm` where `userchkname_yt` = ?;";
    $result = DB::instance()->prepare($query)->execute(array($_POST['email']))->fetchAll();
    if(count($result)>0){
        echo -1; //password wrong
    }
    else{
        echo 0; //username wrong
    }
}

然后，您可以在ajax回调中检查返回的值并相应地执行操作。

建议：向可能的攻击者提供此信息（他出错的地方）可以大大缩短暴力/字典攻击所需的时间