No debes encriptar la contraseña a verificar, este debe ser tal cual se recibe por POST ($password = $_POST['password'] ?: '';
).
Luego tampoco estas usando bien tu comparación if ($password == password_verify($fila['password'],$hash))
esto debería quedar algo como:
if (password_verify($password,$fila['password'])) {}
Un consejo que te doy es que uses sentencias preparadas y así tendrás una página web más seguro.
Posible ejemplo:
<?php
session_start();
if (isset($_POST['btnLogin'])) {
// Datos forumlario
$email = $_POST['email'] ?: '';
$password = $_POST['password'] ?: '';
//$password = password_hash($password, PASSWORD_DEFAULT); // No hace falta
$query = mysqli_query($conexion, "SELECT * FROM usuarios WHERE email = '$email'");
if (mysqli_num_rows($query) > 0) {
$fila = mysqli_fetch_assoc($query);
$email = $fila['email'];
$password = $fila['password'];
if (password_verify($password,$fila['password'])) {
$_SESSION['email'] = $fila['email'];
$_SESSION['password'] = $fila['password'];
$mensaje = '<div class="alert alert-success alert-dismissible fade show text-center" role="alert">
<strong>¡Bienvenido/a a nuestra Finca!</strong>
<button type="button" class="btn-close" data-bs-dismiss="alert" aria-label="Close">
<span aria-hidden=""></span>
</button>
</div>';
}else {
$mensaje = '<div class="alert alert-warning alert-dismissible fade show text-center" role="alert">
<strong>Contraseña incorrecta</strong>
<button type="button" class="btn-close" data-bs-dismiss="alert" aria-label="Close">
<span aria-hidden=""></span>
</button>
</div>';
}
}
mysqli_close($conexion);
}
?>
Edición:
Como nota añadiria:
PASSWORD_DEFAULT - Usar el algoritmo bcrypt (predeterminado a partir de PHP 5.5.0). Observe que esta constante está diseñada para cambiar siempre que se añada un algoritmo nuevo y más fuerte a PHP. Por esta razón, la longitud del resultado de usar este identificador puede cambiar con el tiempo. Por lo tanto, se recomienda almacenar el resultado en una columna de una base de datos que pueda apliarse a más de 60 caracteres (255 caracteres sería una buena elección).
Sentencias preparadas
session_start();/* importante */
if (isset($_POST['btnLogin'])) {
// Datos formulario
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
$password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_FULL_SPECIAL_CHARS);
// Datos true
if ($email && $password) {
/**
* Recuerda tambien añadir tu conexion.
*
*/
// Sentencia preparada
$query = 'SELECT count(*) exist, email, password FROM usuarios WHERE email = ?';
$stmt = $conexion->prepare($query);
// Parametros sentencia ?, este caso una string (cadena), por eso pasamos el tipo 's' y su valor
$stmt->bind_param("s",$email);
// Ejecutar sentencia
$stmt->execute();
// Ligamos resultado
$stmt->bind_result($exist,$correo,$passwordHash);
$stmt->fetch();
$stmt->close();
// Existe resultado
if ($exist > 0) {
// Verificar contraseña
if (password_verify($password,$passwordHash)) {
// Creas sesion
$_SESSION['email'] = $correo;
$_SESSION['password'] = $passwordHash;
$mensaje = '<div class="alert alert-success alert-dismissible fade show text-center" role="alert">
<strong>¡Bienvenido/a a nuestra Finca!</strong>
<button type="button" class="btn-close" data-bs-dismiss="alert" aria-label="Close">
<span aria-hidden=""></span>
</button>
</div>';
}else {
$mensaje = '<div class="alert alert-warning alert-dismissible fade show text-center" role="alert">
<strong>Contraseña incorrecta</strong>
<button type="button" class="btn-close" data-bs-dismiss="alert" aria-label="Close">
<span aria-hidden=""></span>
</button>
</div>';
}
} else {
$mensaje = 'Usuario no encontrado';
}
} else {
$mensaje = 'Problemas con datos POST';
}
}