2

He aplicado a las contraseñas encriptación mediante password_hash().

Cuando intento hacer login usando password_verify no consigo acceder. Creo que el problema lo tengo en la parte de $row = $query->fetch(PDO::FETCH_ASSOC) porque cuando hago un var_damp($row) este no devuelve nada.

Este es el código (método CheckUser de la clase Usuario).

public function CheckUser() {

        // Try and cacth para capturar errores
        try {

                // Guardamos la sentencia sql para sacar obtener al usuario de la base de datos
                $sql = 'SELECT * FROM usuarios WHERE usuario = ? AND password = ?';

                // Preparamos la consulta con la sentencia guardada en $sql usando el atributo de la clase Conexion
                $query = $this->conexion_db->prepare($sql);

                // Evitamos inyección sql
                $user = htmlentities(addslashes($_POST['user']));
                $password = htmlentities(addslashes($_POST['password']));

                // Ligamos los parámetros de la consulta usando bindParam con lo que haya escrito el usuario en el formulario de login
                $query->bindParam(1, $user, PDO::PARAM_STR);
                $query->bindParam(2, $password, PDO::PARAM_STR);

                // Ejecutamos la consulta
                $query->execute();

                $row = $query->fetch(PDO::FETCH_ASSOC);

                if(password_verify($password, $row['password'])){

                    // Iniciamos sesión
                    session_start();

                    // Guardamos en la variable supergoblal el nombre de usuario
                    $_SESSION['usuario'] = $_POST['user'];

                    // Guardamos la cookie
                    include('cookie.php');
                    Cookie();

                    // Dirigimos al usuario a una página temporal para comprobar que funciona
                    header('location:../index.php');

                } else {

                    // Dirigimos al usuario de nuevo a la página de login
                    // header('location:../acceder.php');
                    echo var_dump($query->execute());
                }

        } catch (Exception $e) {

            echo "Error en la ejecución de la consulta<br>";
            echo "Mensaje: " . $e->GetMessage() . "<br>";
            echo "Línea: " . $e->getLine();

        }
    }
5
  • La contraseña esta en la BBDD encriptada pero en tu query me parece que va en claro por lo que nunca encontrará registros.
    – Lithorell
    Commented el 1 jun. 2017 a las 10:31
  • ¿Tengo que pasarle antes el password_verify?
    – David
    Commented el 1 jun. 2017 a las 10:47
  • 1
    No, el password_verify esta bien, lo que tienes es que obtener el usuario sin preguntar por la password. SELECT * FROM usuarios WHERE usuario = ?
    – Lithorell
    Commented el 1 jun. 2017 a las 10:50
  • Efectivamente es eso @Lithorell, acabo de cambiarlo y funciona. Si quieres lo añades como respuesta para que te puntúe. Gracias
    – David
    Commented el 1 jun. 2017 a las 10:52
  • Ya esta añadido ;)
    – Lithorell
    Commented el 1 jun. 2017 a las 10:52

1 respuesta 1

2

Lo que falla es la obtención del usuario ya que la password de la BBDD esta encriptada y al hacer la query la compruebas contra una en claro. Asi es como debería funcionar

public function CheckUser() {

    // Try and cacth para capturar errores
    try {

            // Guardamos la sentencia sql para sacar obtener al usuario de la base de datos
            $sql = 'SELECT * FROM usuarios WHERE usuario = ?';

            // Preparamos la consulta con la sentencia guardada en $sql usando el atributo de la clase Conexion
            $query = $this->conexion_db->prepare($sql);

            // Evitamos inyección sql
            $user = htmlentities(addslashes($_POST['user']));
            $password = htmlentities(addslashes($_POST['password']));

            // Ligamos los parámetros de la consulta usando bindParam con lo que haya escrito el usuario en el formulario de login
            $query->bindParam(1, $user, PDO::PARAM_STR);

            // Ejecutamos la consulta
            $query->execute();

            $row = $query->fetch(PDO::FETCH_ASSOC);

            if(password_verify($password, $row['password'])){

                // Iniciamos sesión
                session_start();

                // Guardamos en la variable supergoblal el nombre de usuario
                $_SESSION['usuario'] = $_POST['user'];

                // Guardamos la cookie
                include('cookie.php');
                Cookie();

                // Dirigimos al usuario a una página temporal para comprobar que funciona
                header('location:../index.php');

            } else {

                // Dirigimos al usuario de nuevo a la página de login
                // header('location:../acceder.php');
                echo var_dump($query->execute());
            }

    } catch (Exception $e) {

        echo "Error en la ejecución de la consulta<br>";
        echo "Mensaje: " . $e->GetMessage() . "<br>";
        echo "Línea: " . $e->getLine();

    }
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.