Según el manual, password_verify(), necesita como primer parámetro, tu password como tal, es decir, $password
en tu caso, y como segundo parámetro, esa misma password pero 'hasheada', por así españolizarlo.
Entonces el problema puede ser que el segundo parámetro que pones en password_verify() puede estar no 'hasheado'. Debes verificar en la db, si las password están 'hasheadas' o no. O bien, si cuando un usuario se registra, su password se ingresa 'hasheada'.
Cómo hasheas la password para ingresarla a la db? Usando password_hash(), lo cual deberías implementar cuando un usuario se registra y establece su password.
Este es tu código probado con parámetros fijos y 'hasheando' la password traída de la db antes de usar el password_verify(). Por supuesto es solo a modo demostrativo, pues lo correcto es que la password venga ya 'hasheada' desde la db.
<?php
$conexion = new mysqli('localhost','root','','test');
if($conexion->connect_error){
die("Algo Ah Fallado:".$conexion->connection_error);
}
$username = 'roberto';
$password = '123456';
$tbl_name = 'usuarios'; //no pusiste de dónde venía este dato en tu ejemplo, solo lo construí aquí para testear.
$sql = "SELECT * FROM $tbl_name WHERE Usuario = '$username'";
$result = $conexion->query($sql);
if($result->num_rows === 1){
$row = $result->fetch_array(MYSQLI_ASSOC);
$hasheada = password_hash($row['Password'],PASSWORD_DEFAULT); //hasheo la password con el método por defecto. Recuerda que es solo para ejemplificar lo que te falta.
if(password_verify($password,$hasheada)){
$_SESSION['loggedin'] =true;
$_SESSION['Usuario'] =$username;
$_SESSION['start'] =time();
$_SESSION['expire'] =$_SESSION['start']+(5*60);
//header('Location: index.html');
echo $hasheada; //comenté el header solo para ver la password hasheada.
}
else{
echo "Usuario o contraseña incorrectos, Ya te haz registrado.?";
echo "<br><a href='login.html'>Volver a Intentarlo</a>";
}
}
?>
Lo que se muestra en pantalla es lo siguiente:
Que corresponde a '123456' hasheado.
nota1:
Esta respuesta la he investigado y probado recién ahora, es decir, no tengo experiencia en el tema, solo estoy suponiendo que tal vez el error corresponde a lo que propongo. En cualquier caso, podría servir para alguien que si haya cometido ese error.
nota2
El término 'hash' no tengo claro si es lo mismo que 'encriptar', por eso no he usado este último. Si alguien que lo sepa pudiera corroborarlo, sería de gran ayuda para desespañolizar el 'hasheando', 'hasheado', 'hasheada' que usé en esta respuesta.