0

estoy teniendo muchos problemas y ya no se como solucionarlo. Os comento los problemas que me están surgiendo.

El login falla a usuarios aleatorios, es decir un dia funciona o otro no y así... extraño. usuarios que he cambiado la pass directamente en la BBDD sin pasar por el registro. Mi usuario siempre funciona, pero el de los demás....no.No lo entiendo, os voy a dejar mi código, por si veis algún tipo de fallo. he de decir que esto esta ya en una web publicada. Obviamente he cambiado los datos al hacer la cosulta a la base de datos.

<?php session_start();
    if (isset ($_SESSION['usuario'])){
    header('Location: ../php/home.php');
}

$errores = '';
if ($_SERVER['REQUEST_METHOD'] =='POST') {
    $email = filter_var(strtolower($_POST['email']), FILTER_SANITIZE_STRING);
    $password = $_POST['password'];
    $password = hash('sha512', $password);
    try {
        $conexion = new PDO('mysql:host=localhost;dbname=base_de_datos', 'root', ' ') ;
        // la conexión a la base de datos se hace bien.
     } catch (PDOException $e) {
         echo "Error". $e->getMessage();;
     }

     $statement = $conexion->prepare ('SELECT * FROM usuarios WHERE email = :email AND pass = :password');

 $statement->execute(array(
     ':email'=> $email,
     ':password'=>$password
     ));

     $resultado = $statement->fetch();
     if ($resultado !==false) {
         $_SESSION ['usuario'] = $email;
         header('Location: ../php/home.php');
     }else {
         $errores= '<li style="color:red;"> Tu e-mail o contraseña no son correctos</li>';
     }
}
?>

<form class="text-center formulario" style="color: #757575;" action="<?php echo htmlspecialchars($_SERVER['PHP_SELF']);?>" method="POST" name="login">
<!-- Email -->
<div class="md-form">
<input type="email" id="materialLoginFormEmail" class="form-control" name="email">
<label for="materialLoginFormEmail">E-mail</label>
</div>
<!-- Password -->
<div class="md-form">
<input type="password" id="materialLoginFormPassword" class="form-control" name="password">
<label for="materialLoginFormPassword">Contaseña</label>
</div>
<div class="d-flex justify-content-around">
<div>
<!-- Forgot password -->
<a href=""></a>
</div>
</div>
<!-- Sign in button -->
<div class="text-center mt-4">
<button class="btn btn-warning btn-lg  mt-4" onclick="login.submit()">Login</button>
</div>
<br>
<br>
<?php if(!empty($errores)):?>
       <div class="error">
                     <ul>
                         <?php echo $errores;?>
                     </ul>
                 </div>
                 <?php endif;?>
                 <br>
                 <br>
<!-- Register -->
<p>¿No eres miembro?
<a href="php/registro.php">Registrate</a>
</p>
            </div>
        </div>
       </form>
3
  • 2
    No entiendo por qué haces un hash de la contraseña ¿? Eso debería hacerse al momento de insertar. Lo que deberías hacer es seleccionar la contraseña usando el email como criterio: SELECT password FROM usuarios WHERE email = :email obtener el valor, por ejemplo mediante fetchColumn y luego verificarla con $esCorrecta = password_verify($_POST['password'], $passWordObtenidadelSelect); Y luego: if ($esCorrecta){ //hacer login }else{//usuario no existe o login incorrecto}
    – A. Cedano
    Commented el 19 ago. 2018 a las 15:24
  • Lo uso para la desorientación de la contraseña, al menos, así me han enseñado....y que sea seguro. No entiendo por que cada uno dice una cosa...Según tu criterio no hace falta validar la pass con hash?
    – user93754
    Commented el 19 ago. 2018 a las 15:33
  • es que el hash solo se aplica al insertarla, posterior cuando la vas a consultar puedes auxiliarte de funciones como password_verify(); lo que mencionas de hacerla mas segura; francamente no le hallo sentido de aplicación pues no veo que así funcione @IvanInceraMundogamer
    – user75901
    Commented el 20 ago. 2018 a las 4:32

1 respuesta 1

2

Tu código está bien, el único error que le veo es a la hora de hacer el logueo, ya que estás encriptando la contraseña a la hora de mandarla a pedir a tu base de datos. Creo que no está demás aclarar que cuando encripta una contraseña, a esta se le añade algo llamado SALT (la sal) la cual es COMPLETAMENTE ALEATORIA cada vez que encriptas, por lo tanto si encriptas esta contraseña cuando mandas a pedir los datos, es un 99% probable que no sea igual que la que tienes almacenada en tu BBDD. Puedes usar el método password_verify($passIngresadaPorUsuario,$passEncriptadaEnBaseDeDatos);

Adjunto un código que puede servirte:

<?php 
    session_start();
    if (isset ($_SESSION['usuario'])){
    header('Location: ../php/home.php');
}

$errores = '';
if ($_SERVER['REQUEST_METHOD'] =='POST') {
    $email = filter_var(strtolower($_POST['email']), FILTER_SANITIZE_STRING);
    $password = $_POST['password'];

    try {
        $conexion = new PDO('mysql:host=localhost;dbname=base_de_datos', 'root', ' ') ;
       // la conexión a la base de datos se hace bien.
     } catch (PDOException $e) {
        echo "Error". $e->getMessage();;
     }   

     $queryPass = $conexion->prepare("SELECT pass FROM usuarios WHERE email = :email");

     $queryPass->execute([
         ':email' => $email
     ]);

     $passBBDD = $queryPass->fetchAll(PDO::FETCH_ASSOC);

     if(password_verify($password, $passBBDD['pass'])){
          $_SESSION ['usuario'] = $email;
          header('Location: ../php/home.php');
     }else {

          $errores= '<li style="color:red;"> Tu e-mail o contraseña no son correctos</li>';
     }
}
?>
4
  • Me da fallo al hacer login, un error 500 si inserto este código, se supone que debe redirigirse a ../php/home.php, pero no redirige
    – user93754
    Commented el 20 ago. 2018 a las 6:47
  • Era por la version php estoy en la 5.4 y esto es apartir de la 5.5, he cambiado a la 5.6 pero me da fallo al validar
    – user93754
    Commented el 20 ago. 2018 a las 7:39
  • esto debería funcionar si la contraseña ha sido haseada con password_hash()? por que no me funciona......
    – user93754
    Commented el 20 ago. 2018 a las 11:30
  • Es mejor que te actualices a la versión 7.0 de php para que todas las funciones te, valga la redundancia, te funcionen. password_verify() debería de funcionar con todos los métodos de encriptado, aun que ahora en día es mejor que ocupes password_hash() para encriptar, ya que el md5, sha1 y sha256 están "Desprotegidos" por las famosas rainbow tables. Saludos Commented el 20 ago. 2018 a las 16:33

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.