password_verify使用password_hash错误在登录时将用户存储在会话中

Question

我的密码\u散列有问题，当我登录时，我想让用户登录会话，但当我使用密码验证时不工作，回显不返回任何内容。我怎样才能解决这个问题？谢谢这是我的代码：

    <?php
session_start();
include_once("../Backend/conexao_db.php");

if((isset($_POST['txt_usuario'])) && (isset($_POST['txt_senha']))) {
    $usuario = mysqli_real_escape_string($conn, $_POST['txt_usuario']); 
    $pass = mysqli_real_escape_string($conn, $_POST['txt_senha']);
    $passwordhash = password_hash($pass, PASSWORD_DEFAULT);

    $result_usuario = "SELECT * FROM tbl_Usuario WHERE email = '$usuario' && senha = '$pass'";
    $resultado_usuario = mysqli_query($conn, $result_usuario);
    if ($resultado = mysqli_fetch_assoc($resultado_usuario)) {
        if (password_verify($pass, $passwordhash)) {


        $_SESSION['usuarioId'] = $resultado['id'];
        if ($_SESSION['empresaID'] == "") {
            echo $_SESSION['usuarioId'];

            } else {

            }

        }
    }
}

这个代码完美的工作时，我不使用password_verify。

Answer 1

您在那里所做的是无用的，因为您正在测试您刚刚创建的密码哈希是否与其自身匹配。这永远是真的。

如果不知道您的会话变量，我会猜测如果（$_SESSION['empresaID'] == "")导致您的错误，除非您在其他地方设置它。

但要改进您的代码：

您应该将散列存储在数据库中，并测试结果是否与输入的密码匹配。此过程的目标是不必将密码以明文形式存储在数据库中。

另外，请使用准备好的语句来防止SQL注入。在我的示例中，我使用了PDO。

使用预先准备好的语句，您可以避免使用mysqli\u real\u escape\u string——如果其中有任何特殊字符，它将更改密码。

if((!empty($_POST['txt_usuario'])) && (!empty($_POST['txt_senha']))) {
  $usuario = $_POST['txt_usuario'];
  $pass = $_POST['txt_senha'];

  // returns a connection to pdo
  $conn = Database::connectPDO();
  $stmt = $conn->prepare('SELECT * FROM tbl_Usuario WHERE email = :email');
  $stmt->bindParam(':email', $usuario);

  if($stmt->execute()) {
    while($user = $stmt->fetch(PDO::FETCH_ASSOC)) {
      if(password_verify($pass, $user['senha'])) {
         echo 'success';
       }
     }
  }
}

因此，如果要添加用户，应将散列的密码存储在数据库中，以使此函数正常工作：

if((!empty($_POST['txt_usuario'])) && (!empty($_POST['txt_senha']))) {
  $usuario = $_POST['txt_usuario'];
  $pass = $_POST['txt_senha'];

  $hashedPassword = password_hash($pass, PASSWORD_DEFAULT);

  $conn = Database::connectPDO();
  $stmt = $conn->prepare('INSERT INTO tbl_Usuario (email, senha) VALUES (:email, : senha)');
  $stmt->bindParam(':email', $usuario);
  $stmt->bindParam(':senha', $hashedPassword);

  if($stmt->execute()) {
    echo 'successfully registered';
  }
}