0

Bueno, estoy tratando de realizar un login para un página el cual al validar el usuario redireccione a una nueva página,el problema es que cunado ingreso los datos para ingresar, los cuales estoy completamente seguro existe en la base de datos, siempre me manda la respuesta que los datos son incorrectos. El código php que estoy usando para validar el usuario a ingresar es éste:

<?php   
//Conectamos a la base de datos
require('conexion.php');

//Obtenemos los datos del formulario de acceso
$userPOST = $_POST["nombre"]; 
$passPOST = $_POST["pass"];

//Filtro anti-XSS
$userPOST = htmlspecialchars(mysqli_real_escape_string($conexion, $userPOST));
$passPOST = htmlspecialchars(mysqli_real_escape_string($conexion, $passPOST));

//Definimos la cantidad máxima de caracteres
//Esta comprobación se tiene en cuenta por si se llegase a modificar el "maxlength" del formulario
//Los valores deben coincidir con el tamaño máximo de la fila de la base de datos
$maxCaracteresUsername = "50";
$maxCaracteresPassword = "18";

//Si los input son de mayor tamaño, se "muere" el resto del código y muestra la respuesta correspondiente 
if(strlen($userPOST) > $maxCaracteresUsername && strlen($passPOST) > $maxCaracteresPassword) 
    {
        die('Los datos exceden la extensión máxima de caracteres.');
    };

if(strlen($userPOST) > $maxCaracteresUsername) 
    {
        die('El nombre de usuario no puede superar los '.$maxCaracteresUsername.' caracteres.');
    };

if(strlen($passPOST) > $maxCaracteresPassword) 
    {
        die('La contraseña no puede superar los '.$maxCaracteresPassword.' caracteres.');
    };
//Escribimos la consulta necesaria
$consulta = "SELECT * FROM `acopiadores` WHERE nombre='".$userPOST."'";

//Obtenemos los resultados
$resultado = mysqli_query($conexion, $consulta);
$datos = mysqli_fetch_array($resultado);

//Guardamos los resultados del nombre de usuario
//y de la contraseña de la base de datos 
$userBD = $datos['nombre'];
$passwordBD = $datos['pass'];

//Comprobamos si los datos son correctos
if($userBD == $userPOST and password_verify($passPOST, $passwordBD))
{
    session_start();
    $_SESSION['usuario'] = $datos['nombre'];
    $_SESSION['estado'] = 'Autenticado';
    header("Location: intacopiador.php"); 

//Si los datos no son correctos, o están vacíos, muestra un error 
} 
else if ( $userBD != $userPOST || $userPOST == "" || $passPOST == "" || !password_verify($passPOST, $passwordBD) )
{
    die ('<script>$(".acceso").val("");</script>
    Los datos de acceso son incorrectos.');
} 
else 
{
    die('Error');
};

?>

No voy a mentir, soy algo trenco en programación web y estoy teniendo problemas algo que posiblemente sea muy sencillo. La parte HTML del formulario para ingreso es ésta:

<div id="mensaje" style="border:1px solid #CCC; padding:10px; width:400px"></div>
        </center>

        <center>
          <div class="container #ffffff white" style="width:300px">
            <i class="fa fa-user"></i>
            <label for="Usuario">Nombre de Usuario: <i class="material-icons right">assignment_ind</i></label> 
            <input type="text" name="nombre" id="nombre" class="form-control" style="width:200px;height:15px">
          </div>
        </center>

            <div> <img src="img/separate.png" width="250" height="150"  alt="Image" class="responsive-img"> </div>

        <center>
          <div class="container #ffffff white" style="width:300px">
            <i class="fa fa-lock"></i>
            <label for="contra">Contraseña:<i class="material-icons right">lock</i></label>
            <input type="password" name="pass" id="pass" class="form-control" style="width:200px;height:15px">
          </div>
        </center> 

      <center> 
        <div class="text-center">
          <button class="btn indigo accent-4" type="submit" value="submit"  name="Validar">Iniciar Sesión<i class="material-icons right">vpn_key</i></button>
        </div> 
      </center>
      </form>
    </div>
</body>

En el mismo archivo estoy usando el siguiente script para mandarlo a el archivo "acceso.php" para que valide el inicio de sesión:

<script>
var mensaje = $("#mensaje");
mensaje.hide();

$("#login").on("submit", function(e){
  e.preventDefault();
  var formData = new FormData(document.getElementById("login"));

    $.ajax({
    url: "acceso.php", 
    type: "POST",
    dataType: "HTML",
    data: formData,
    cache: false,
    contentType: false,
    processData: false

    }).done(function(echo){
    if (echo !== "") {
      mensaje.html(echo);
      mensaje.slideDown(500);
    } else {
      window.location.replace("");
    }
  });
});
</script>

Lamento las molestias y gracias

Edit: Bueno, gracias los que comentaron ya no me da el error de decir que los datos son incorrectos a pesar de que ingreso datos que sé que están en la base de datos, pero al esperar a que me redireccione a la siguiente página obtengo el siguiente error:

introducir la descripción de la imagen aquí

El código que se encarga de verificar el login quedó así:

<?php   
//Conectamos a la base de datos
require('conexion.php');

//Obtenemos los datos del formulario de acceso
$userPOST = $_POST["nombre"]; 
$passPOST = $_POST["pass"];

$maxCaracteresUsername = "50";
$maxCaracteresPassword = "18";

//Si los input son de mayor tamaño, se "muere" el resto del código y muestra la respuesta correspondiente 
if(strlen($userPOST) > $maxCaracteresUsername && strlen($passPOST) > $maxCaracteresPassword) 
    {
        die('Los datos exceden la extensión máxima de caracteres.');
    };

if(strlen($userPOST) > $maxCaracteresUsername) 
    {
        die('El nombre de usuario no puede superar los '.$maxCaracteresUsername.' caracteres.');
    };

if(strlen($passPOST) > $maxCaracteresPassword) 
    {
        die('La contraseña no puede superar los '.$maxCaracteresPassword.' caracteres.');
    };
//Escribimos la consulta necesaria
$consulta = "SELECT * FROM `acopiadores` WHERE nombre='".$userPOST."'";

//Obtenemos los resultados
$resultado = mysqli_query($conexion, $consulta);
$datos = mysqli_fetch_array($resultado);

//Guardamos los resultados del nombre de usuario
//y de la contraseña de la base de datos 
$userBD = $datos['nombre'];
$passwordBD = $datos['pass'];

//Comprobamos si los datos son correctos
if($userBD == $userPOST and $passwordBD == $passPOST)
{
    session_start();
    $_SESSION['usuario'] = $datos['nombre'];
    $_SESSION['estado'] = 'Autenticado';
    header("Location: intacopiador.php"); 

//Si los datos no son correctos, o están vacíos, muestra un error 
} 
else if ( $userBD != $userPOST || $userPOST == "" || $passPOST == "" || $passwordBD != $passPOST )
{

    die ('<script>$(".acceso").val("");</script>
    Los datos de acceso son incorrectos.');

} 
else 
{
    die('Error');
};

?>

Y el código de la página a la que quiero redirecciconar es éste:

<?php

session_start();

error_reporting(E_ALL ^ E_NOTICE);


if(isset($_SESSION['usuario']) and $_SESSION['estado'] == 'Autenticado') {
  include('intacopiador.php');
  die();
} else {
  include('logeo.php');
  die();
};

include('conexion.php');
require('sesiones.php');

?>

Esa es la parte del PHP no creo que sea necesario poner el HTML, pero si hace falta edito, gracias.

5
  • Probaste password_verify($passPOST, $passwordBD)==true
    – Kevin
    Commented el 17 ene. 2018 a las 20:14
  • Bienvenido a Stackoverflow. Generalmente veo que en código como el tuyo el uso de htmlspecialchars y de mysqli_real_escape_string impide el funcionamiento ... y además, no impide una posible inyección SQL, que es lo que hay que proteger aquí. No haces nada con esas funciones si luego tú pasas la consulta así: $consulta = "SELECT * FROM acopiadores WHERE nombre='".$userPOST."'";, pues el hecho de enviar el valor $userPOST es el verdadero peligro aquí. Tendrías que renunciar a las dos funciones de escape e implementar consultas preparadas...
    – A. Cedano
    Commented el 17 ene. 2018 a las 21:47
  • ... por otra parte, no veo el sentido de usar password_verify en el segundo if, cuando se supone que si no pasó el primer if es porque ya el password fue verificado. También, puedes depurar tus variables, para revisar lo que está ocurriendo, especialmente $userBD, $passwordBD y las demás.
    – A. Cedano
    Commented el 17 ene. 2018 a las 21:50
  • Si, y estoy recibiendo la misma respuesta.
    – Soul Aside
    Commented el 17 ene. 2018 a las 22:08
  • Ya depuré las 4 variables las de las consultas y las de user y password, todas tienen los datos que deben ser y la consulta si es hecha correctamente.
    – Soul Aside
    Commented el 17 ene. 2018 a las 22:32

1 respuesta 1

1

Revisa la documentacion de la funcion password_verify() http://php.net/manual/es/function.password-verify.php ahi veras que la funcion consume un pass y un hash para validar que este correcto; tu estas pasando 2 passwords, lo cual hace que la funcion de resultado negativo y por eso tu codigo no funciona

si tus pass no tienen hash bastara con compararlas para que de el resultado esperado

 if($userBD == $userPOST and $passPOST==$passwordBD))
   {
     // verdadero

   }
20
  • No tengo hash en el pass y con la comprobación directa que tu dices me sigue mostrando el mismo resultado, que los datos son incorrectos.
    – Soul Aside
    Commented el 17 ene. 2018 a las 22:06
  • saludos cambia el else if ( $userBD != $userPOST || $userPOST == "" || $passPOST == "" || !password_verify($passPOST, $passwordBD) ) { die ('<script>$(".acceso").val("");</script> Los datos de acceso son incorrectos.'); } quita la parte de password_verify esa no te funcionara por que esa funciona solo con hash y pon mejor esta verificacion $passPOST!=$passwordBD Commented el 17 ene. 2018 a las 22:34
  • Bueno, modifiqué a como tu dices y al cambiar eso ya no me muestra el mensaje de "los datos de acceso son incorrectos" simplemente me muestra el mensaje de error y sigue sin permitirme el acceso.
    – Soul Aside
    Commented el 17 ene. 2018 a las 22:49
  • que mensaje de error te aparece? Commented el 17 ene. 2018 a las 22:55
  • el simple mensaje de error que está en el final del script php que valida el inicio de sesión else { die('Error'); };
    – Soul Aside
    Commented el 17 ene. 2018 a las 23:16

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.