Bueno, estoy tratando de realizar un login para un página el cual al validar el usuario redireccione a una nueva página,el problema es que cunado ingreso los datos para ingresar, los cuales estoy completamente seguro existe en la base de datos, siempre me manda la respuesta que los datos son incorrectos. El código php que estoy usando para validar el usuario a ingresar es éste:
<?php
//Conectamos a la base de datos
require('conexion.php');
//Obtenemos los datos del formulario de acceso
$userPOST = $_POST["nombre"];
$passPOST = $_POST["pass"];
//Filtro anti-XSS
$userPOST = htmlspecialchars(mysqli_real_escape_string($conexion, $userPOST));
$passPOST = htmlspecialchars(mysqli_real_escape_string($conexion, $passPOST));
//Definimos la cantidad máxima de caracteres
//Esta comprobación se tiene en cuenta por si se llegase a modificar el "maxlength" del formulario
//Los valores deben coincidir con el tamaño máximo de la fila de la base de datos
$maxCaracteresUsername = "50";
$maxCaracteresPassword = "18";
//Si los input son de mayor tamaño, se "muere" el resto del código y muestra la respuesta correspondiente
if(strlen($userPOST) > $maxCaracteresUsername && strlen($passPOST) > $maxCaracteresPassword)
{
die('Los datos exceden la extensión máxima de caracteres.');
};
if(strlen($userPOST) > $maxCaracteresUsername)
{
die('El nombre de usuario no puede superar los '.$maxCaracteresUsername.' caracteres.');
};
if(strlen($passPOST) > $maxCaracteresPassword)
{
die('La contraseña no puede superar los '.$maxCaracteresPassword.' caracteres.');
};
//Escribimos la consulta necesaria
$consulta = "SELECT * FROM `acopiadores` WHERE nombre='".$userPOST."'";
//Obtenemos los resultados
$resultado = mysqli_query($conexion, $consulta);
$datos = mysqli_fetch_array($resultado);
//Guardamos los resultados del nombre de usuario
//y de la contraseña de la base de datos
$userBD = $datos['nombre'];
$passwordBD = $datos['pass'];
//Comprobamos si los datos son correctos
if($userBD == $userPOST and password_verify($passPOST, $passwordBD))
{
session_start();
$_SESSION['usuario'] = $datos['nombre'];
$_SESSION['estado'] = 'Autenticado';
header("Location: intacopiador.php");
//Si los datos no son correctos, o están vacíos, muestra un error
}
else if ( $userBD != $userPOST || $userPOST == "" || $passPOST == "" || !password_verify($passPOST, $passwordBD) )
{
die ('<script>$(".acceso").val("");</script>
Los datos de acceso son incorrectos.');
}
else
{
die('Error');
};
?>
No voy a mentir, soy algo trenco en programación web y estoy teniendo problemas algo que posiblemente sea muy sencillo. La parte HTML del formulario para ingreso es ésta:
<div id="mensaje" style="border:1px solid #CCC; padding:10px; width:400px"></div>
</center>
<center>
<div class="container #ffffff white" style="width:300px">
<i class="fa fa-user"></i>
<label for="Usuario">Nombre de Usuario: <i class="material-icons right">assignment_ind</i></label>
<input type="text" name="nombre" id="nombre" class="form-control" style="width:200px;height:15px">
</div>
</center>
<div> <img src="img/separate.png" width="250" height="150" alt="Image" class="responsive-img"> </div>
<center>
<div class="container #ffffff white" style="width:300px">
<i class="fa fa-lock"></i>
<label for="contra">Contraseña:<i class="material-icons right">lock</i></label>
<input type="password" name="pass" id="pass" class="form-control" style="width:200px;height:15px">
</div>
</center>
<center>
<div class="text-center">
<button class="btn indigo accent-4" type="submit" value="submit" name="Validar">Iniciar Sesión<i class="material-icons right">vpn_key</i></button>
</div>
</center>
</form>
</div>
</body>
En el mismo archivo estoy usando el siguiente script para mandarlo a el archivo "acceso.php" para que valide el inicio de sesión:
<script>
var mensaje = $("#mensaje");
mensaje.hide();
$("#login").on("submit", function(e){
e.preventDefault();
var formData = new FormData(document.getElementById("login"));
$.ajax({
url: "acceso.php",
type: "POST",
dataType: "HTML",
data: formData,
cache: false,
contentType: false,
processData: false
}).done(function(echo){
if (echo !== "") {
mensaje.html(echo);
mensaje.slideDown(500);
} else {
window.location.replace("");
}
});
});
</script>
Lamento las molestias y gracias
Edit: Bueno, gracias los que comentaron ya no me da el error de decir que los datos son incorrectos a pesar de que ingreso datos que sé que están en la base de datos, pero al esperar a que me redireccione a la siguiente página obtengo el siguiente error:
El código que se encarga de verificar el login quedó así:
<?php
//Conectamos a la base de datos
require('conexion.php');
//Obtenemos los datos del formulario de acceso
$userPOST = $_POST["nombre"];
$passPOST = $_POST["pass"];
$maxCaracteresUsername = "50";
$maxCaracteresPassword = "18";
//Si los input son de mayor tamaño, se "muere" el resto del código y muestra la respuesta correspondiente
if(strlen($userPOST) > $maxCaracteresUsername && strlen($passPOST) > $maxCaracteresPassword)
{
die('Los datos exceden la extensión máxima de caracteres.');
};
if(strlen($userPOST) > $maxCaracteresUsername)
{
die('El nombre de usuario no puede superar los '.$maxCaracteresUsername.' caracteres.');
};
if(strlen($passPOST) > $maxCaracteresPassword)
{
die('La contraseña no puede superar los '.$maxCaracteresPassword.' caracteres.');
};
//Escribimos la consulta necesaria
$consulta = "SELECT * FROM `acopiadores` WHERE nombre='".$userPOST."'";
//Obtenemos los resultados
$resultado = mysqli_query($conexion, $consulta);
$datos = mysqli_fetch_array($resultado);
//Guardamos los resultados del nombre de usuario
//y de la contraseña de la base de datos
$userBD = $datos['nombre'];
$passwordBD = $datos['pass'];
//Comprobamos si los datos son correctos
if($userBD == $userPOST and $passwordBD == $passPOST)
{
session_start();
$_SESSION['usuario'] = $datos['nombre'];
$_SESSION['estado'] = 'Autenticado';
header("Location: intacopiador.php");
//Si los datos no son correctos, o están vacíos, muestra un error
}
else if ( $userBD != $userPOST || $userPOST == "" || $passPOST == "" || $passwordBD != $passPOST )
{
die ('<script>$(".acceso").val("");</script>
Los datos de acceso son incorrectos.');
}
else
{
die('Error');
};
?>
Y el código de la página a la que quiero redirecciconar es éste:
<?php
session_start();
error_reporting(E_ALL ^ E_NOTICE);
if(isset($_SESSION['usuario']) and $_SESSION['estado'] == 'Autenticado') {
include('intacopiador.php');
die();
} else {
include('logeo.php');
die();
};
include('conexion.php');
require('sesiones.php');
?>
Esa es la parte del PHP no creo que sea necesario poner el HTML, pero si hace falta edito, gracias.
password_verify($passPOST, $passwordBD)==true
htmlspecialchars
y demysqli_real_escape_string
impide el funcionamiento ... y además, no impide una posible inyección SQL, que es lo que hay que proteger aquí. No haces nada con esas funciones si luego tú pasas la consulta así:$consulta = "SELECT * FROM acopiadores WHERE nombre='".$userPOST."'";
, pues el hecho de enviar el valor$userPOST
es el verdadero peligro aquí. Tendrías que renunciar a las dos funciones de escape e implementar consultas preparadas...password_verify
en el segundoif
, cuando se supone que si no pasó el primerif
es porque ya el password fue verificado. También, puedes depurar tus variables, para revisar lo que está ocurriendo, especialmente$userBD
,$passwordBD
y las demás.