0

Cuando intento iniciar sesión siempre me dice que la contraseña es incorrecta aunque la ingrese de forma correcta. No encuentro donde está el error.

Este es el código del login:

if (isset($_POST['btnLogin'])) {
    $email = $_POST['email'];
    $password = $_POST['password'];
    $password = password_hash($password, PASSWORD_DEFAULT);

    $query = mysqli_query($conexion, "SELECT * FROM usuarios WHERE email = '$email'");

    if (mysqli_num_rows($query) > 0) {

        $fila = mysqli_fetch_assoc($query);
        $email = $fila['email'];
        $password = $fila['password'];

        if ($password == password_verify($fila['password'],$hash)) {
            $_SESSION['email'] =  $fila['email'];
            $_SESSION['password'] =  $fila['password'];

        $mensaje = '<div class="alert alert-success alert-dismissible fade show text-center" role="alert">
                 <strong>¡Bienvenido/a a nuestra Finca!</strong>
                 <button type="button" class="btn-close" data-bs-dismiss="alert" aria-label="Close">
                   <span aria-hidden=""></span>
                 </button>
               </div>';
        } else {
            $mensaje = '<div class="alert alert-warning alert-dismissible fade show text-center" role="alert">
             <strong>Contraseña incorrecta</strong>
             <button type="button" class="btn-close" data-bs-dismiss="alert" aria-label="Close">
               <span aria-hidden=""></span>
             </button>
            </div>';             
        }
    }
    mysqli_close($conexion);
}

1 respuesta 1

0

No debes encriptar la contraseña a verificar, este debe ser tal cual se recibe por POST ($password = $_POST['password'] ?: '';).

Luego tampoco estas usando bien tu comparación if ($password == password_verify($fila['password'],$hash)) esto debería quedar algo como:

if (password_verify($password,$fila['password'])) {}

Un consejo que te doy es que uses sentencias preparadas y así tendrás una página web más seguro.

Posible ejemplo:

<?php
session_start(); 
if (isset($_POST['btnLogin'])) {
  // Datos forumlario
  $email = $_POST['email'] ?: '';
  $password = $_POST['password'] ?: '';
  //$password = password_hash($password, PASSWORD_DEFAULT); // No hace falta

  $query = mysqli_query($conexion, "SELECT * FROM usuarios WHERE email = '$email'");

  if (mysqli_num_rows($query) > 0) {
  
      $fila = mysqli_fetch_assoc($query);
      $email = $fila['email'];
      $password = $fila['password'];

    if (password_verify($password,$fila['password'])) {
        $_SESSION['email'] =  $fila['email'];
        $_SESSION['password'] =  $fila['password'];

        $mensaje = '<div class="alert alert-success alert-dismissible fade show text-center" role="alert">
                 <strong>¡Bienvenido/a a nuestra Finca!</strong>
                 <button type="button" class="btn-close" data-bs-dismiss="alert" aria-label="Close">
                   <span aria-hidden=""></span>
                 </button>
               </div>';
    }else {
        $mensaje = '<div class="alert alert-warning alert-dismissible fade show text-center" role="alert">
                 <strong>Contraseña incorrecta</strong>
                 <button type="button" class="btn-close" data-bs-dismiss="alert" aria-label="Close">
                   <span aria-hidden=""></span>
                 </button>
               </div>';             
    }
  }     
  mysqli_close($conexion);
}
?>

Edición:

Como nota añadiria:

PASSWORD_DEFAULT - Usar el algoritmo bcrypt (predeterminado a partir de PHP 5.5.0). Observe que esta constante está diseñada para cambiar siempre que se añada un algoritmo nuevo y más fuerte a PHP. Por esta razón, la longitud del resultado de usar este identificador puede cambiar con el tiempo. Por lo tanto, se recomienda almacenar el resultado en una columna de una base de datos que pueda apliarse a más de 60 caracteres (255 caracteres sería una buena elección).

Sentencias preparadas

session_start();/* importante */
if (isset($_POST['btnLogin'])) {
  // Datos formulario
  $email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
  $password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_FULL_SPECIAL_CHARS);

  // Datos true
  if ($email && $password) {

    /**
     * Recuerda tambien añadir tu conexion.
     * 
    */
    
    // Sentencia preparada
    $query = 'SELECT count(*) exist, email, password FROM usuarios WHERE email = ?';
    $stmt = $conexion->prepare($query);
    // Parametros sentencia ?, este caso una string (cadena), por eso pasamos el tipo 's' y su valor
    $stmt->bind_param("s",$email);
    // Ejecutar sentencia
    $stmt->execute();
    // Ligamos resultado
    $stmt->bind_result($exist,$correo,$passwordHash);
    $stmt->fetch();
    $stmt->close();
    // Existe resultado
    if ($exist > 0) {    
      // Verificar contraseña
      if (password_verify($password,$passwordHash)) {
        // Creas sesion
        $_SESSION['email'] =  $correo;
        $_SESSION['password'] =  $passwordHash;

        $mensaje = '<div class="alert alert-success alert-dismissible fade show text-center" role="alert">
                   <strong>¡Bienvenido/a a nuestra Finca!</strong>
                   <button type="button" class="btn-close" data-bs-dismiss="alert" aria-label="Close">
                     <span aria-hidden=""></span>
                   </button>
                 </div>';
      }else {
        $mensaje = '<div class="alert alert-warning alert-dismissible fade show text-center" role="alert">
                   <strong>Contraseña incorrecta</strong>
                   <button type="button" class="btn-close" data-bs-dismiss="alert" aria-label="Close">
                     <span aria-hidden=""></span>
                   </button>
                 </div>';             
      }
    } else {
       $mensaje = 'Usuario no encontrado';
    }    
  } else {
    $mensaje = 'Problemas con datos POST';
  }  
}
7
  • Gracias por la respuesta, hice los cambios en el codigo que me indicaste pero sigo sin poder iniciar sesion. Commented el 10 dic. 2021 a las 22:44
  • @GoldeenRock92 Si no específicas que error tienes aparte en tu login, será difícil de ayudar, ya que solo dices que si ingresas la contraseña correcta no ingresa, eso es el motivo de mi respuesta.
    – D.Bulten
    Commented el 10 dic. 2021 a las 22:49
  • @GoldeenRock92 Tu columna en la Base de datos cuantos caracteres permiten? Recuerda cuando usas PASSWORD_DEFAULT, se recomienda almacenar el resultado en una columna de una base de datos que pueda ampliarse a más de 60 caracteres (255 caracteres sería una buena elección). Si tienes puesto un varchar(30) este nunca va coincidir ya que no te está guardando el hash completo.
    – D.Bulten
    Commented el 10 dic. 2021 a las 22:56
  • @DEBE Modifiqué la columna password en la base de datos(ya que tenia varchar (60)) pero sigo sin poder iniciar sesion. No sé donde está el error :/ Commented el 10 dic. 2021 a las 23:10
  • @GoldeenRock92 guardaste también la contraseña nuevamente? ya que si solo has modificado el varchar, el valor que estaba guardado sigue estando mal, elimina el usuario y lo vuelvas a guardar, a ver si sigue el problema, ya que a simple vista en tu código no veo más errores, de todas forma te dejare también un ejemplo con sentencias preparadas que son más seguras.
    – D.Bulten
    Commented el 10 dic. 2021 a las 23:15

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.