Skip to main content
se añadieron 3578 caracteres en el cuerpo
Origen Enlace
A. Cedano
  • 95.2k
  • 31
  • 145
  • 257

PruebaPor otra parte, si estás usando PDO, el código debe ser adaptado a PDO. De igual modo, el archivo donde conectas a PDO tiene que tener alguna forma de acceder a la conexión. Yo he creado en dicho archivo una función getConnection() que te retorna sea el objeto $db (que es la conexión) o null en caso de fallo.

El archivo sería así:

<?php
  //Archivo config para Producción
  function getConnection()
  {
    ob_start();
    session_start();

    //set timezone
    date_default_timezone_set('America/Argentina/Buenos_Aires'); 

    //database credentials
    ##para conectarse a la BBDD del servidor de produccion##
    define('DBHOST','localhost');
    define('DBPORT','3306');
    define('DBUSER','root');
    define('DBPASS','123');
    define('DBNAME','siriodb');

    //application address
    ##para uso en el servidor de desarrollo local##
    define('DIR','https://www.test.com.ar/');
    define('SITETITLE','Login');
    define('SITEEMAIL','[email protected]');
    define('SITECUSTOMER','Pagina test'); // Ej Nombre de empresa

    //Conexion con setAttribute(PDO::ATTR_EMULATE_PREPARES, false); utilizada para la mayoria de las consultas

    try {
        //create PDO connection
        $db = new PDO("mysql:host=".DBHOST.";port=".DBPORT.";charset=utf8mb4;dbname=".DBNAME, DBUSER, DBPASS);
        //$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_SILENT);//Suggested to uncomment on production websites
        $db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);//Suggested to comment on production websites
        $db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
        //$db->setAttribute(PDO::ATTR_USE_BUFFERED_QUERY, true);
        return $db;

    } catch(PDOException $e) {
        //show error
        //echo '<p class="bg-danger">'.$e->getMessage().'</p>';
        echo "Fallo al conectar a la BBDD Remota (db1)";
        return NULL;
        exit;
    }
  }

Ahora adaptamos el código a PDO y de paso usamos consultas preparadas pues tu código no es seguro por el simple hecho de usar PDO. La seguridad consiste en no pasar datos externos directamente en las consultas.

<?php
    session_start();
    include_once "config/config.php"; 
    function verificar_login($dni,$password,&$result) 
    {
        $pdo=getConnection();
        if ($pdo) 
        {
          $sql = "SELECT COUNT(*) FROM members WHERE dni = '$dni':dni and password = '$password'";:password";
        $rec  $stmt = mysql_query$pdo->prepare($sql);
          $stmt->bindParam(":dni", $dni, PDO::PARAM_STR);
          $stmt->bindParam(":password", $password, PDO::PARAM_STR);
          $stmt->execute();
          $count = mysqli_fetch_row$stmt->fetchColumn($rec);
          return ($count[0]$count > 0);
        } 
        else 
        {
          echo "Error en la conexión";
          return false;
        }
        
    }
     
    if(!isset($_SESSION['dniid']))
    {
        if(isset($_POST['login']))
        {
            if(verificar_login($_POST['dni'],$_POST['password'],$result) ==> 10)
            {
                $_SESSION['dniid'] = $result->dniid;
                header("location: index.php");
            }
            else
            {
                echo "<div class=\"error\">Su DNI es incorrecto, intente nuevamente.</div>";
            }
        }
    }
    ?>     
    <form action="" method="post" class="login">
        <div><label>DNI</label><input name="dni" type="text" ></div>
        <div><label>Password</label><input name="password" type="password"></div>
        <div><input name="login" type="submit" value="login"></div>
    </form>
  1. Para verificar si hay registros es mejor hacer una consulta del tipo SELECT COUNT(*) ... la cual traerá la cantidad de filas que existan con ese criterio.
  2. Dado que este tipo de consultas arroja una sola fila, no hace falta recorrer las filas e ir incrementando un contador como hacías en tu código original. Simplemente puedes obtener los resultados de la columna con mysqli_fetch_rowfetchColumn() o con otro método.
  3. Luego puedes retornar true o false con algo así: return ($count[0]$count > 0). Esto retornará true si la cantidad de filas es mayor que cero o false en caso contrario.
  4. En la llamada a la función hemos cambiado esto: if(verificar_login($_POST['dni'],$_POST['password'],$result) == 1) por esto: if(verificar_login($_POST['dni'],$_POST['password'],$result)), porque hemos hecho que verificar_login() devuelva un booleano true o false sin más. Si la idea es comprobar que existen registros, no debes comparar contra 1, porque el código no funcionará si por algún motivo hay más de una fila y eso podría ocurrir en algunos contextos.
  5. Finalmente, los echo que hay después del form no tienen ningún sentido. En caso de ingresar correctamente tú estás haciendo un location más arriba, eso redireccionará a otra página, por lo que no estarás ya en el contexto actual para mostrar ese contenido. Si quieres mostrar mensajes o lo que sea tendrás que pasarlos a la página a la que redireccionas o replantear la forma de organizar el código en cuanto a las redirecciones.

Nota sobre la verificación de claves.

En los comentarios salió el tema de password_hash() y password_verify(), pero no has aclarado nada al respecto. Si al guardar el password creaste un hash y lo guardaste en la BD, ahora debes usar password_verify() para comprobar. Si no sabes cómo funciona consulta la documentación o revisa esta respuesta.

Prueba así:

<?php
    session_start();
    include_once "config/config.php"; 
    function verificar_login($dni,$password,&$result) {
        $sql = "SELECT COUNT(*) FROM members WHERE dni = '$dni' and password = '$password'";
        $rec = mysql_query($sql);
        $count = mysqli_fetch_row($rec);
        return ($count[0] > 0);
    }
     
    if(!isset($_SESSION['dniid']))
    {
        if(isset($_POST['login']))
        {
            if(verificar_login($_POST['dni'],$_POST['password'],$result) == 1)
            {
                $_SESSION['dniid'] = $result->dniid;
                header("location: index.php");
            }
            else
            {
                echo "<div class=\"error\">Su DNI es incorrecto, intente nuevamente.</div>";
            }
        }
    }
    ?>     
    <form action="" method="post" class="login">
        <div><label>DNI</label><input name="dni" type="text" ></div>
        <div><label>Password</label><input name="password" type="password"></div>
        <div><input name="login" type="submit" value="login"></div>
    </form>
  1. Para verificar si hay registros es mejor hacer una consulta del tipo SELECT COUNT(*) ... la cual traerá la cantidad de filas que existan con ese criterio.
  2. Dado que este tipo de consultas arroja una sola fila, no hace falta recorrer las filas e ir incrementando un contador como hacías en tu código original. Simplemente puedes obtener los resultados de la columna con mysqli_fetch_row o con otro método.
  3. Luego puedes retornar true o false con algo así: return ($count[0] > 0). Esto retornará true si la cantidad de filas es mayor que cero o false en caso contrario.
  4. Finalmente, los echo que hay después del form no tienen ningún sentido. En caso de ingresar correctamente tú estás haciendo un location más arriba, eso redireccionará a otra página, por lo que no estarás ya en el contexto actual para mostrar ese contenido. Si quieres mostrar mensajes o lo que sea tendrás que pasarlos a la página a la que redireccionas o replantear la forma de organizar el código en cuanto a las redirecciones.

Por otra parte, si estás usando PDO, el código debe ser adaptado a PDO. De igual modo, el archivo donde conectas a PDO tiene que tener alguna forma de acceder a la conexión. Yo he creado en dicho archivo una función getConnection() que te retorna sea el objeto $db (que es la conexión) o null en caso de fallo.

El archivo sería así:

<?php
  //Archivo config para Producción
  function getConnection()
  {
    ob_start();
    session_start();

    //set timezone
    date_default_timezone_set('America/Argentina/Buenos_Aires'); 

    //database credentials
    ##para conectarse a la BBDD del servidor de produccion##
    define('DBHOST','localhost');
    define('DBPORT','3306');
    define('DBUSER','root');
    define('DBPASS','123');
    define('DBNAME','siriodb');

    //application address
    ##para uso en el servidor de desarrollo local##
    define('DIR','https://www.test.com.ar/');
    define('SITETITLE','Login');
    define('SITEEMAIL','[email protected]');
    define('SITECUSTOMER','Pagina test'); // Ej Nombre de empresa

    //Conexion con setAttribute(PDO::ATTR_EMULATE_PREPARES, false); utilizada para la mayoria de las consultas

    try {
        //create PDO connection
        $db = new PDO("mysql:host=".DBHOST.";port=".DBPORT.";charset=utf8mb4;dbname=".DBNAME, DBUSER, DBPASS);
        //$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_SILENT);//Suggested to uncomment on production websites
        $db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);//Suggested to comment on production websites
        $db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
        //$db->setAttribute(PDO::ATTR_USE_BUFFERED_QUERY, true);
        return $db;

    } catch(PDOException $e) {
        //show error
        //echo '<p class="bg-danger">'.$e->getMessage().'</p>';
        echo "Fallo al conectar a la BBDD Remota (db1)";
        return NULL;
        exit;
    }
  }

Ahora adaptamos el código a PDO y de paso usamos consultas preparadas pues tu código no es seguro por el simple hecho de usar PDO. La seguridad consiste en no pasar datos externos directamente en las consultas.

<?php
    session_start();
    include_once "config/config.php"; 
    function verificar_login($dni,$password,&$result) 
    {
        $pdo=getConnection();
        if ($pdo) 
        {
          $sql = "SELECT COUNT(*) FROM members WHERE dni = :dni and password = :password";
          $stmt = $pdo->prepare($sql);
          $stmt->bindParam(":dni", $dni, PDO::PARAM_STR);
          $stmt->bindParam(":password", $password, PDO::PARAM_STR);
          $stmt->execute();
          $count = $stmt->fetchColumn();
          return ($count > 0);
        } 
        else 
        {
          echo "Error en la conexión";
          return false;
        }
        
    }
     
    if(!isset($_SESSION['dniid']))
    {
        if(isset($_POST['login']))
        {
            if(verificar_login($_POST['dni'],$_POST['password'],$result) > 0)
            {
                $_SESSION['dniid'] = $result->dniid;
                header("location: index.php");
            }
            else
            {
                echo "<div class=\"error\">Su DNI es incorrecto, intente nuevamente.</div>";
            }
        }
    }
    ?>     
    <form action="" method="post" class="login">
        <div><label>DNI</label><input name="dni" type="text" ></div>
        <div><label>Password</label><input name="password" type="password"></div>
        <div><input name="login" type="submit" value="login"></div>
    </form>
  1. Para verificar si hay registros es mejor hacer una consulta del tipo SELECT COUNT(*) ... la cual traerá la cantidad de filas que existan con ese criterio.
  2. Dado que este tipo de consultas arroja una sola fila, no hace falta recorrer las filas e ir incrementando un contador como hacías en tu código original. Simplemente puedes obtener los resultados de la columna con fetchColumn().
  3. Luego puedes retornar true o false con algo así: return ($count > 0). Esto retornará true si la cantidad de filas es mayor que cero o false en caso contrario.
  4. En la llamada a la función hemos cambiado esto: if(verificar_login($_POST['dni'],$_POST['password'],$result) == 1) por esto: if(verificar_login($_POST['dni'],$_POST['password'],$result)), porque hemos hecho que verificar_login() devuelva un booleano true o false sin más. Si la idea es comprobar que existen registros, no debes comparar contra 1, porque el código no funcionará si por algún motivo hay más de una fila y eso podría ocurrir en algunos contextos.
  5. Finalmente, los echo que hay después del form no tienen ningún sentido. En caso de ingresar correctamente tú estás haciendo un location más arriba, eso redireccionará a otra página, por lo que no estarás ya en el contexto actual para mostrar ese contenido. Si quieres mostrar mensajes o lo que sea tendrás que pasarlos a la página a la que redireccionas o replantear la forma de organizar el código en cuanto a las redirecciones.

Nota sobre la verificación de claves.

En los comentarios salió el tema de password_hash() y password_verify(), pero no has aclarado nada al respecto. Si al guardar el password creaste un hash y lo guardaste en la BD, ahora debes usar password_verify() para comprobar. Si no sabes cómo funciona consulta la documentación o revisa esta respuesta.

se añadieron 662 caracteres en el cuerpo
Origen Enlace
A. Cedano
  • 95.2k
  • 31
  • 145
  • 257
<?php
    session_start();
    include_once "config/config.php";
     
    function verificar_login($dni,$password,&$result) {
        $sql = "SELECT dni, passwordCOUNT(*) FROM members WHERE dni = '$dni' and password = '$password'";
        $rec = mysql_query($sql);
        $count = 0;
     
        while($row = mysql_fetch_objectmysqli_fetch_row($rec))
        {
            $count++;
            $result = $row;
        };
     
       return if($count$count[0] ==> 10)
        {
            return 1;
        }
     
        else
        {
            return 0;
        };
    }
     
    if(!isset($_SESSION['dniid']))
    {
        if(isset($_POST['login']))
        {
            if(verificar_login($_POST['dni'],$_POST['password'],$result) == 1)
            {
                $_SESSION['dniid'] = $result->dniid;
                header("location: index.php");
            }
            else
            {
                echo "<div class=\"error\">Su DNI es incorrecto, intente nuevamente.</div>";
            }
        }
    }
    ?>
      
    <form action="" method="post" class="login">
        <div><label>DNI</label><input name="dni" type="text" ></div>
        <div><label>Password</label><input name="password" type="password"></div>
        <div><input name="login" type="submit" value="login"></div>
    </form>
    <?php
    } else {
        echo 'Su usuario ingreso correctamente.';
        echo '<a href="logout.php">Logout</a>';
    }

Edit

He simplificado el código en los siguientes aspectos:

  1. Para verificar si hay registros es mejor hacer una consulta del tipo SELECT COUNT(*) ... la cual traerá la cantidad de filas que existan con ese criterio.
  2. Dado que este tipo de consultas arroja una sola fila, no hace falta recorrer las filas e ir incrementando un contador como hacías en tu código original. Simplemente puedes obtener los resultados de la columna con mysqli_fetch_row o con otro método.
  3. Luego puedes retornar true o false con algo así: return ($count[0] > 0). Esto retornará true si la cantidad de filas es mayor que cero o false en caso contrario.
  4. Finalmente, los echo que hay después del form no tienen ningún sentido. En caso de ingresar correctamente tú estás haciendo un location más arriba, eso redireccionará a otra página, por lo que no estarás ya en el contexto actual para mostrar ese contenido. Si quieres mostrar mensajes o lo que sea tendrás que pasarlos a la página a la que redireccionas o replantear la forma de organizar el código en cuanto a las redirecciones.
<?php
    session_start();
    include_once "config/config.php";
     
    function verificar_login($dni,$password,&$result) {
        $sql = "SELECT dni, password FROM members WHERE dni = '$dni' and password = '$password'";
        $rec = mysql_query($sql);
        $count = 0;
     
        while($row = mysql_fetch_object($rec))
        {
            $count++;
            $result = $row;
        }
     
        if($count == 1)
        {
            return 1;
        }
     
        else
        {
            return 0;
        }
    }
     
    if(!isset($_SESSION['dniid']))
    {
        if(isset($_POST['login']))
        {
            if(verificar_login($_POST['dni'],$_POST['password'],$result) == 1)
            {
                $_SESSION['dniid'] = $result->dniid;
                header("location: index.php");
            }
            else
            {
                echo "<div class=\"error\">Su DNI es incorrecto, intente nuevamente.</div>";
            }
        }
    ?>
      
    <form action="" method="post" class="login">
        <div><label>DNI</label><input name="dni" type="text" ></div>
        <div><label>Password</label><input name="password" type="password"></div>
        <div><input name="login" type="submit" value="login"></div>
    </form>
    <?php
    } else {
        echo 'Su usuario ingreso correctamente.';
        echo '<a href="logout.php">Logout</a>';
    }
<?php
    session_start();
    include_once "config/config.php"; 
    function verificar_login($dni,$password,&$result) {
        $sql = "SELECT COUNT(*) FROM members WHERE dni = '$dni' and password = '$password'";
        $rec = mysql_query($sql);
        $count = mysqli_fetch_row($rec);
        return ($count[0] > 0);
    }
     
    if(!isset($_SESSION['dniid']))
    {
        if(isset($_POST['login']))
        {
            if(verificar_login($_POST['dni'],$_POST['password'],$result) == 1)
            {
                $_SESSION['dniid'] = $result->dniid;
                header("location: index.php");
            }
            else
            {
                echo "<div class=\"error\">Su DNI es incorrecto, intente nuevamente.</div>";
            }
        }
    }
    ?>     
    <form action="" method="post" class="login">
        <div><label>DNI</label><input name="dni" type="text" ></div>
        <div><label>Password</label><input name="password" type="password"></div>
        <div><input name="login" type="submit" value="login"></div>
    </form>

Edit

He simplificado el código en los siguientes aspectos:

  1. Para verificar si hay registros es mejor hacer una consulta del tipo SELECT COUNT(*) ... la cual traerá la cantidad de filas que existan con ese criterio.
  2. Dado que este tipo de consultas arroja una sola fila, no hace falta recorrer las filas e ir incrementando un contador como hacías en tu código original. Simplemente puedes obtener los resultados de la columna con mysqli_fetch_row o con otro método.
  3. Luego puedes retornar true o false con algo así: return ($count[0] > 0). Esto retornará true si la cantidad de filas es mayor que cero o false en caso contrario.
  4. Finalmente, los echo que hay después del form no tienen ningún sentido. En caso de ingresar correctamente tú estás haciendo un location más arriba, eso redireccionará a otra página, por lo que no estarás ya en el contexto actual para mostrar ese contenido. Si quieres mostrar mensajes o lo que sea tendrás que pasarlos a la página a la que redireccionas o replantear la forma de organizar el código en cuanto a las redirecciones.
Origen Enlace
A. Cedano
  • 95.2k
  • 31
  • 145
  • 257

Hay dos errores en tu código:

  1. Te falta cerrar la línea anterior al header location con punto y coma: $_SESSION['dniid'] = $result->dniid;
  2. En las cadenas con dobles comillas, debes escapar la comillas interiores con \, aquí no lo estás haciendo: echo "<div class="error">Su DNI es incorrecto, intente nuevamente.</div>"; Así el error desaparecería: echo "<div class=\"error\">Su DNI es incorrecto, intente nuevamente.</div>"; porque escapas las comillas que hay para class="error".

Prueba así:

<?php
    session_start();
    include_once "config/config.php";
     
    function verificar_login($dni,$password,&$result) {
        $sql = "SELECT dni, password FROM members WHERE dni = '$dni' and password = '$password'";
        $rec = mysql_query($sql);
        $count = 0;
     
        while($row = mysql_fetch_object($rec))
        {
            $count++;
            $result = $row;
        }
     
        if($count == 1)
        {
            return 1;
        }
     
        else
        {
            return 0;
        }
    }
     
    if(!isset($_SESSION['dniid']))
    {
        if(isset($_POST['login']))
        {
            if(verificar_login($_POST['dni'],$_POST['password'],$result) == 1)
            {
                $_SESSION['dniid'] = $result->dniid;
                header("location: index.php");
            }
            else
            {
                echo "<div class=\"error\">Su DNI es incorrecto, intente nuevamente.</div>";
            }
        }
    ?>
     
    <form action="" method="post" class="login">
        <div><label>DNI</label><input name="dni" type="text" ></div>
        <div><label>Password</label><input name="password" type="password"></div>
        <div><input name="login" type="submit" value="login"></div>
    </form>
    <?php
    } else {
        echo 'Su usuario ingreso correctamente.';
        echo '<a href="logout.php">Logout</a>';
    }