2

Estoy intentando hacer un login con una base de datos y PHP, lo cual logré avances y pareciera que funciona, pero me deja entrar con cualquier nombre y contraseña.

Configuré el PHP del server en 5.6 y creo que el problema es por usar mysql_real_escape_string en vez de mysqli_real_escape_string dado que en los tutoriales del trabajo que hice utilizo $mysqli = new mysqli(...) para conectar.

¿Me podrían guiar para pasar lo que hice a mysqli_real_escape_string?

login.php

    <?php
session_start();

  // Obtengo los datos cargados en el formulario de login.
  $nombre = $_POST['nombre'];
  $password = $_POST['password'];
// // Datos para conectar a la base de datos.
   $nombreServidor =3333333 ;
   $nombreUsuario = 3333333;
   $passwordBaseDeDatos =3333333 ;
   $nombreBaBaseDeDatos=3333333;

  // // Crear conexión con la base de datos.
   $conn = new mysqli($nombreServidor, $nombreUsuario, $passwordBaseDeDatos, $nombreBaseDeDatos);

  // // Validar la conexión de base de datos.
   if ($conn ->connect_error) {
     die("Connection failed: " . $conn ->connect_error);
  }


  // Consulta segura para evitar inyecciones SQL.
  $sql = sprintf("SELECT * FROM usuarios WHERE nombre ='%s' AND password ='%s'", mysql_real_escape_string($nombre), mysql_real_escape_string($password));
  $resultado = $conn->query($sql);

  // Verificando si el usuario existe en la base de datos.
  if($resultado){
    // Guardo en la sesión el email del usuario.
    $_SESSION['nombre'] = $nombre;

    // Redirecciono al usuario a la página principal del sitio.
    header("HTTP/1.1 302 Moved Temporarily");
    header("Location: principal.php");
  }else{
    echo 'El usuario o password es incorrecto, <a href="index.html">vuelva a intenarlo</a>.<br/>';
  }

?>

index.html

<!DOCTYPE html>
<html lang="es">
<head>
    <meta http-equiv="Content-type" content="text/html; charset=utf-8" />
    <meta http-equiv="X-UA-Compatible" content="IE=edge">
    <meta name="viewport" content="width=device-width, initial-scale=1, maximum-scale=1">
    <title>Control Service Robert</title>
    <link rel="icon" href="favicon.ico">
    <link rel="stylesheet" href="publica/css/bootstrap.min.css">
    <link rel="stylesheet" href="publica/css/bootstrap-theme.min.css">
    <link rel="stylesheet" href="publica/estilos3.css">
      <!-- jQuery library -->
<script src="https://ajax.googleapis.com/ajax/libs/jquery/3.3.1/jquery.min.js"></script>
<script src="publica/js/bootstrap.min.js"></script>
</head>
<body>
    <header id="header" class="">
        <h1>Control Service Robert</h1>
    </header>
<div class="wrapper">
<div class="imagen" >
    <img src="img/tec.png" alt="tecnico">
  </div>
    <form class="form-signin" method="POST" action="login.php">

      <h2 class="form-signin-heading">Please login</h2>
      <input type="text" class="form-control" name="nombre" placeholder="Usuario" required="" autofocus="" /><br>
      <input type="password" class="form-control" name="password" placeholder="Password" required=""/>
      <label class="checkbox">
        <input type="checkbox" value="remember-me" id="rememberMe" name="rememberMe">Recuérdame
      </label>
      <button class="btn btn-lg btn-primary btn-block" type="submit">Login</button>
    </form>


</div>


<footer>






</footer>



</body>
</html>

cerrarseccion.php

<?php
  session_start();
// Elimina la variable email en sesión.
  unset($_SESSION['nombre']);

  // Elimina la sesion.
  session_destroy();

  // Redirecciona a la página de login.
  header("HTTP/1.1 302 Moved Temporarily");
  header("Location: index.html");
?>

En la principal.php comienzo con este código:

<?php
session_start();
// Controlo si el usuario ya está logueado en el sistema.
  if(isset($_SESSION['nombre'])){
    // Le doy la bienvenida al usuario.
    echo 'Bienvenido <strong>'. $_SESSION['mombre'] .'</strong>, <a href="cerrarseccion.php">cerrar sesión</a>';
  }else{
    // Si no está logueado lo redireccion a la página de login.
    header("HTTP/1.1 302 Moved Temporarily");
    header("Location: index.html");
  }

Las demás páginas la conexión es con éste:

    <?php
    $mysqli = new mysqli('eeeee','eeeee','eeeeee','eeeeeee');

$mysqli->set_charset('utf8');
       if($mysqli->connect_error){

        die('Error en la conexion' . $mysqli->connect_error);
    }

?>

2 respuestas 2

1

El uso de mysqli_real_escape_string() requiere como primer parámetro la conexión si no usas la interfaz OOP.

En tu caso, al usarla, deberías usar el método correcto de $conn:

<?php
$sql = sprintf(
  "SELECT * FROM usuarios WHERE nombre ='%s' AND password ='%s'",
  $conn->real_escape_string($nombre),
  $conn->real_escape_string($password)
);

Para continuar, el problema por el que entra uses el usuario y contraseña que sea no está relacionado con el uso o no de una función u otra, está relacionado con que únicamente comprueba si la consulta se ejecutó correctamente, no si se encontró un usuario, por lo que hay que obtener el registro con mysqli_result::fetch_assoc():

<?php
$resultado = $conn->query($sql);
/* Comprobamos si se ejecutó correctamente la consulta */
if ($resultado !== false) {
  /* Verificando si el usuario existe en la base de datos. */
  $registro = $resultado->fetch_assoc();
  if ($registro !== null) {
    // Guardo en la sesión el email del usuario.
    $_SESSION['nombre'] = $registro['nombre'];
    // Redirecciono al usuario a la página principal del sitio.
    header("HTTP/1.1 302 Moved Temporarily");
    header("Location: principal.php");
  } else {
    echo 'El usuario o password es incorrecto, <a href="index.html">vuelva a intentarlo</a>.<br/>';
  }
} else {
  die('Error SQL: ' . htmlspecialchars($conn->error));
}

Al obtener el registro valdrá null si no se encontró la coincidencia y en caso de encontrarla el dato del nombre estará en $registro['nombre'].

5
  • 1
    te amo amigo!!!!!ME FUNCIONO PERFECTO
    – kuky
    el 28 sep. 2018 a las 8:33
  • Me alegra haber sido de ayuda :) el 28 sep. 2018 a las 8:59
  • No olvides marcar la respuesta como correcta para dar por solucionado el problema. el 28 sep. 2018 a las 8:59
  • oSCAR UNA CONSUTA MAS EN ESTA LINEA ESTARIA BIEN HECHA PARA QUE ME SALGA EL NOMBRE DEL USUARIO EL CONCADENAMIENTO.......... echo 'Bienvenido <strong>'. $_SESSION['mombre'] .'</strong>, <a href="cerrarseccion.php">cerrar sesión</a>';
    – kuky
    el 28 sep. 2018 a las 9:02
  • No te recomiendo hacerlo así. Deberías usar htmlspecialchars() para escapar todo lo que vayas a enviar al navegador de la siguiente manera: echo 'Bienvenido <strong>' . htmlspecialchars($_SESSION['nombre']) . '</strong>, <a href="cerrarseccion.php">cerrar sesión</a>';. Por cierto, cuidado con el índice. Has puesto por error mombre en vez de nombre. el 28 sep. 2018 a las 9:05
0

Tienes que validar que el resultado devuelve al menos una fila:

// Verificando si el usuario existe en la base de datos.    
if ($resultado && $resultado->num_rows == 1) {

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.