PruebaPor otra parte, si estás usando PDO, el código debe ser adaptado a PDO. De igual modo, el archivo donde conectas a PDO tiene que tener alguna forma de acceder a la conexión. Yo he creado en dicho archivo una función getConnection()
que te retorna sea el objeto $db
(que es la conexión) o null
en caso de fallo.
El archivo sería así:
<?php
//Archivo config para Producción
function getConnection()
{
ob_start();
session_start();
//set timezone
date_default_timezone_set('America/Argentina/Buenos_Aires');
//database credentials
##para conectarse a la BBDD del servidor de produccion##
define('DBHOST','localhost');
define('DBPORT','3306');
define('DBUSER','root');
define('DBPASS','123');
define('DBNAME','siriodb');
//application address
##para uso en el servidor de desarrollo local##
define('DIR','https://www.test.com.ar/');
define('SITETITLE','Login');
define('SITEEMAIL','[email protected]');
define('SITECUSTOMER','Pagina test'); // Ej Nombre de empresa
//Conexion con setAttribute(PDO::ATTR_EMULATE_PREPARES, false); utilizada para la mayoria de las consultas
try {
//create PDO connection
$db = new PDO("mysql:host=".DBHOST.";port=".DBPORT.";charset=utf8mb4;dbname=".DBNAME, DBUSER, DBPASS);
//$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_SILENT);//Suggested to uncomment on production websites
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);//Suggested to comment on production websites
$db->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);
//$db->setAttribute(PDO::ATTR_USE_BUFFERED_QUERY, true);
return $db;
} catch(PDOException $e) {
//show error
//echo '<p class="bg-danger">'.$e->getMessage().'</p>';
echo "Fallo al conectar a la BBDD Remota (db1)";
return NULL;
exit;
}
}
Ahora adaptamos el código a PDO y de paso usamos consultas preparadas pues tu código no es seguro por el simple hecho de usar PDO. La seguridad consiste en no pasar datos externos directamente en las consultas.
<?php
session_start();
include_once "config/config.php";
function verificar_login($dni,$password,&$result)
{
$pdo=getConnection();
if ($pdo)
{
$sql = "SELECT COUNT(*) FROM members WHERE dni = '$dni':dni and password = '$password'";:password";
$rec $stmt = mysql_query$pdo->prepare($sql);
$stmt->bindParam(":dni", $dni, PDO::PARAM_STR);
$stmt->bindParam(":password", $password, PDO::PARAM_STR);
$stmt->execute();
$count = mysqli_fetch_row$stmt->fetchColumn($rec);
return ($count[0]$count > 0);
}
else
{
echo "Error en la conexión";
return false;
}
}
if(!isset($_SESSION['dniid']))
{
if(isset($_POST['login']))
{
if(verificar_login($_POST['dni'],$_POST['password'],$result) ==> 10)
{
$_SESSION['dniid'] = $result->dniid;
header("location: index.php");
}
else
{
echo "<div class=\"error\">Su DNI es incorrecto, intente nuevamente.</div>";
}
}
}
?>
<form action="" method="post" class="login">
<div><label>DNI</label><input name="dni" type="text" ></div>
<div><label>Password</label><input name="password" type="password"></div>
<div><input name="login" type="submit" value="login"></div>
</form>
- Para verificar si hay registros es mejor hacer una consulta del tipo
SELECT COUNT(*) ...
la cual traerá la cantidad de filas que existan con ese criterio. - Dado que este tipo de consultas arroja una sola fila, no hace falta recorrer las filas e ir incrementando un contador como hacías en tu código original. Simplemente puedes obtener los resultados de la columna con
mysqli_fetch_rowfetchColumn()
o con otro método. - Luego puedes retornar
true
ofalse
con algo así:return ($count[0]$count > 0)
. Esto retornarátrue
si la cantidad de filas es mayor que cero ofalse
en caso contrario. - En la llamada a la función hemos cambiado esto:
if(verificar_login($_POST['dni'],$_POST['password'],$result) == 1)
por esto:if(verificar_login($_POST['dni'],$_POST['password'],$result))
, porque hemos hecho queverificar_login()
devuelva un booleanotrue
ofalse
sin más. Si la idea es comprobar que existen registros, no debes comparar contra1
, porque el código no funcionará si por algún motivo hay más de una fila y eso podría ocurrir en algunos contextos. - Finalmente, los
echo
que hay después delform
no tienen ningún sentido. En caso de ingresar correctamente tú estás haciendo unlocation
más arriba, eso redireccionará a otra página, por lo que no estarás ya en el contexto actual para mostrar ese contenido. Si quieres mostrar mensajes o lo que sea tendrás que pasarlos a la página a la que redireccionas o replantear la forma de organizar el código en cuanto a las redirecciones.
Nota sobre la verificación de claves.
En los comentarios salió el tema de password_hash()
y password_verify()
, pero no has aclarado nada al respecto. Si al guardar el password creaste un hash y lo guardaste en la BD, ahora debes usar password_verify()
para comprobar. Si no sabes cómo funciona consulta la documentación o revisa esta respuesta.