0

Tengo un problema con mi php, al parecer cuando ingreso cualquier cosa en usuario y contraseña puede iniciar sesión incluso sin ser usuario

<?php
     session_start();
     require 'conexion.php';      

     if($_POST['proceso_ingreso']=="iniciando"){
        if($_POST['nombreUsuario']!="" && $_POST['password']!=""){

           #leyendo los paramentros ingresados
           $nombre =    $_POST["nombreUsuario"];
           $password =  $_POST["password"];         

           $query = "SELECT *FROM registro WHERE nombre = '$nombre' AND password = '$password'";

           if ($resultado = mysqli_query($mysqli, $query)){
                $numrows = mysqli_num_rows($resultado);
           }else if(!$numrows || mysqli_num_rows($resultado)!= 0){
                header('location: paginaDconsulta.php');    
           }else{
                echo "Usuario o contraseña incorrectos vuelve a ingresarlos";   

           }
       } else{
           echo "Por favor llenar todos los campos"; 
       }
    }
 ?>

2 respuestas 2

2

te hice unas modificaciones a tu código, cambie la forma en que lo escribiste te dejo el aquí los cambios.

<?php
     session_start();
     require 'conexion.php';


     if($_POST['proceso_ingreso']=="iniciando"){
        if($_POST['nombreUsuario']!="" && $_POST['password']!=""){
            #leyendo los paramentros ingresados
            $nombre =    $_POST["nombreUsuario"];
            $password =  $_POST["password"];


          $query = "SELECT *FROM registro WHERE nombre = '$nombre' AND password = '$password'";
          $resultado = mysqli_query($mysqli, $query);
            if (mysqli_num_rows($resultado) > 0){

                header('location: paginaDconsulta.php');

            }else{

                echo "Usuario o contraseña incorrectos vuelve a ingresarlos"; 
            }

        }else{

            echo "Por favor llenar todos los campos"; 

        }
    }
 ?>
0

Te dejo un ejemplo alternativo, aun así, utilizaría mysqli_prepare o PDO, ya que tu código es vulnerable ante ataques de inyección SQL.

<?php
    session_start();
    require 'conexion.php';      

    if($_POST['proceso_ingreso']=="iniciando"){
        //empty — Determina si una variable está vacía.
        if(!empty($_POST['nombreUsuario']) && !empty($_POST['password'])) {

            //leyendo los paramentros ingresados.            
            //mysqli_real_escape_string — Escapa los caracteres especiales de una cadena para usarla en una sentencia SQL.
            $nombre =    mysqli_real_escape_string($mysqli,$_POST["nombreUsuario"]);
            $password = $_POST["password"];

            //Sentencia.
            $query = mysqli_query($mysqli,"SELECT * FROM registro WHERE nombre = '$nombre' AND password = '$password' LIMIT 1");

            //Comprobamos si existe registro.
            if (mysqli_num_rows($query)===1){           
                header('location: paginaDconsulta.php');    
            }else{
                echo "Usuario o contraseña incorrectos vuelve a ingresarlos."; 
            }

        } else{
           echo "Por favor llenar todos los campos."; 
        }
    }
?>

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.