En tu código hay varios problemas, vamos a verlos uno por uno:
En el SELECT
tu columna se llama password
, no se llama passwordE
, por tanto, esto es incorrecto:
if (password_verify($password, $row['passwordE'])) {
Es un despiste que tiene poca relevancia para este caso, pero debes considerar este tipo de errores tontos que te pueden hacer perder varios días.
Aquí el problema grave es que el uso que haces de fetch()
no es correcto. Según el Manual de PHP, fetch()
no te devolvería un recurso con los datos como aparentemente intentas hacer aquí:
$row = $stmt->fetch();
El Manual es claro en este punto. Siempre que vayas a usar un método, revisa el apartado Valores devueltos y los ejemplos de código. Estas son las posibilidades de devolución de fetch()
: TRUE
, FALSE
o NULL
. Nunca un recurso en el cual poder encontrar datos haciendo algo como $row['columna']
Entonces, si están bindeando los datos a una variable:
$stmt->bind_result($email, $passwordE);
Significa que el dato estará en esas variables cuando hagas el fetch()
.
Dicho eso, el problema debería corregirse del siguiente modo:
static function loginHash($email, $password) {
// Variable para controlar el login correcto
$correcto = false;
// Abro la conexion
GestionBDD::conectarBDD();
// Preparo la sentencia SQL
$query = 'SELECT password FROM ' . Constants::$PEOPLE . ' WHERE email = ? LIMIT 1;';
$stmt = GestionBDD::$conexion->prepare($query);
$stmt->bind_param("s", $email);
// Ejecuto y guardo el resultado
$stmt->execute();
$stmt->bind_result($passwordE);
// Si hay resultados y es correcta la comprobación devuelvo true
if ( $stmt->fetch() && password_verify($password, $passwordE) ) {
$correcto = true;
}
// Cierro la sentencia y la consulta
$stmt->close();
GestionBDD::cerrarBDD();
// Devuelvo si es o no correcto el login
return $correcto;
}
Cosas que he optimizado:
SELECT
solamente de password
que es el dato que interesa obtenerse, ningún otro. Se agrega además LIMIT 1
a la instrucción, porque es una verificación.
- Se hace
bind_param()
de $email
, porque su única función aquí es ser criterio del WHERE
, ese manejo innecesario de declarar $val1
no tiene ningún sentido más que crear código spaghetti.
- Se hace
bind_result()
de $passwordE
que es el dato que se ha indicado en el SELECT
y único dato que se va a verificar.
- La creación de
$row
no tiene sentido, por lo ya explicado en el punto 2. Tampoco tendría sentido una verificación con empty()
. Aquí hemos hecho una doble verificación, de fetch()
y de password_verify()
, conforme al tipo de valor que ambas funciones devuelven. No hace falta liar tanto el código en este caso.
Así debería funcionar, si no hay otros problemas que escapan a este contexto. Doy por supuesto que:
a) Usaste password_hash
al momento del INSERT
;
b) Tu columna password
tiene un tipo de dato/tamaño adecuado según el tipo de encriptado que has usado para el hash.