试图从数据库中检索密码

Question

我的登录脚本存在问题，它无法从我提供的 sql 语句中成功提取密码数据。

要求用户输入他们的电子邮件和密码，

<p><strong>Email: </strong><input type= "text" name= "email"></p>
<p><strong>Password: </strong><input type= "password" name= "password"></p>

通过 POST，我将他们从表单中输入的内容放入 sql 语句中。

$taremail = filter_input(INPUT_POST, 'email');
$tarpasswd = filter_input(INPUT_POST, 'password');

$sql = "SELECT email, password FROM members WHERE email = '".$taremail."'
        AND password = PASSWORD('".$tarpasswd."')";

最后，我检查数据库，看看他们输入的电子邮件和密码是否真的在数据库中。

$result = mysqli_query($con, $sql) or die(mysqli_error($con));

if(mysqli_num_rows($result) == 1){

    setcookie("auth", "1", time()+60*30, "/", "", 0); //create cookie for the logged in user    

    $display = "<h2>You have successfully logged in!</h2>
                <p>Click the link below to go to our main page</p>
                <a href=\"main.php\">Main Page</a></br>
                <a href=\"../login.html\">Log out</a>";
} else {
    $display = "<h2>This account is not registered!</br>
                Please make sure to register before trying to log in.</h2>
                <a href=\"../register.html\">Register here!</a>
                <a href=\"../login.html\">Login page</a>";
}

这要么返回给定的电子邮件和密码确实在数据库中，要么不在。够简单吧？

我的问题是它总是执行我的else{}语句，说我没有注册。

我应该注意，在我的注册页面中，他们提供的密码是通过PASSWORD() 方法输入的，所以它变成了数据库上的散列varchar...例如。 letmein = *D37C49F9CBEFBF8B6F4

Answer 1

所以我在为此设置的东西上运行测试，我想我发现了问题。这很令人沮丧。

http://dev.mysql.com/doc/refman/5.0/en/password-hashing.html

来自 PASSWORD() 函数的文档：

“为了容纳更长的密码哈希，用户表中的密码列此时已更改为 41 字节，即其​​当前长度。”

我的用户列中的密码字段仅存储 25 个字节，因此我的假密码“asdfasdf”的 PASSWORD() 产生“*1B1A59A0792309FDE6F1A8681D2B58C4F2639156”，但由于缺少存储空间。

我相信你可以猜到比较这两者的结果。

这可能不是你的问题，但它可以在未来帮助其他一些贫穷、破碎的人。

Answer 2

试试这个：

如果是PASSWORD php 函数，则在查询中调用该函数。

$sql = "SELECT email, password FROM members WHERE email = '".$taremail."'
        AND password = PASSWORD('$tarpasswd')";