1

La pregunta inicial consistía en que al intentar loguearme me devolvía la misma clave con diferentes hash por lo que era imposible hacer la comparación de password validado. Una vez que comenzaron a responderme reemplacé la descripcion del problema por el código de acá abajo.

   <?php
        session_start();
        ob_start();
        require('90_0encab.inc');
        require('92_0musr.inc');
    if(isset($_POST['bt-011']))
        {
            include('99_conn.php');
            $username = $_POST['username'];
            $clave = $_POST['clave'];
            //$pass = password_hash($clave, PASSWORD_BCRYPT);

    // Ver el ejemplo de password_hash() para ver de dónde viene este hash.
    $hash = '98_clave';

    if (password_verify($clave, $hash)) {
        echo '¡La contraseña es válida!';
    } else {
        echo 'La contraseña no es válida.';
    }
            $pass = password_hash($clave, PASSWORD_DEFAULT);
            $grupo = $_POST['grupo'];
            $error = '';
            $sql011 = "SELECT 98_idusr, 98_username, 98_clave, 98_grupo FROM $t98 WHERE 98_username = '$username' AND 98_grupo = '$grupo'";
            $res011 = mysqli_query($conexion,$sql011);
            $rows=$res011->num_rows;
            if ($rows > 0) {
                $row = $res011->fetch_assoc();
                $_SESSION['98_idusr'] = $row['98_idusr'];
                $_SESSION['username'] = $row['username']; 
                $_SESSION['clave'] = $row['clave'];
                $_SESSION['grupo'] = $row['grupo'];
                $error= "El nombre de usuario o clave es incorrecto, Por favor vuelva a intentarlo";
                    if ($grupo) 
                    {
                        switch ($grupo) 
                        {
                            case '1':   header('location: Index_dir.php');  break;
                            case '2':   header('location: Index_adm.php');  break;
                            case '3':   header('location: Index_ori.php');  break;
                            case '4':   header('location: Index_eva.php');  break;
                            case '5':   header('location: Index_con.php');  break;
                            case '6':   header('location: Index_root.php'); break;
                            default:    header('location: Index.html');     break;
                        }
                    }else{
            echo "La variable grupo no tiene datos";                
                    }
            }else{
                echo "No se encontraron registros.$username $pass $clave $grupo ";
        }
    mysqli_close($conexion);
    //  } else {
    //  echo "usted se ha logueado correctamente como $username $pass $clave $grupo";
    }
    ?>
8
  • hahaha.. ok.. tienes un problema.. que es password_hash?
    – gbianchi
    Commented el 27 sept. 2017 a las 19:46
  • el producto de hacedle hash a la clave que se ingresa por formulario Commented el 27 sept. 2017 a las 19:48
  • si me referia a si es una funcion interna o es tuya... pq si devuelve siempre algo distinto.. mmmm... algo esta mal ahi
    – gbianchi
    Commented el 27 sept. 2017 a las 19:48
  • use una rigurosa de php php.net/manual/es/function.password-hash.php Commented el 27 sept. 2017 a las 19:51
  • ahhh.. ya se cual es tu problema.. para validar un hash, se usa la funcion password_verify, o sea el usuario ingresa su pass, y tu pasas el hash de la db y el pass a esta funcion y te devuelve true o false ;)
    – gbianchi
    Commented el 27 sept. 2017 a las 19:52

4 respuestas 4

1

Respuesta rapida:

password_hash crea un hash para una cadena pasada, añadiendo en cada llamada su propia salt (una cadena aleatoria extra) y un tipo de algoritmo de encriptacion. Todo eso, lo agrega al hash.

Por lo tanto, cada vez que la llames vas a tener un hash distinto.

Para verificar si un pass es igual a un hash, se utiliza la función password_verify, la cual recibe un password (la cadena que ingreso el usuario) y un hash (lo que guardaste una sola vez en la base de datos).

1

la clave que fue encriptada en la base de datos con la function:

$claveregistro= password_hash($claveregistro, PASSWORD_DEFAULT);

debe ser traida para verificarla con

password_verify($clavelogin, $claveregistro);

1

Veo que a tu código le falta todavía un poco de orden.

También, si es posible, usa consultas preparadas para evitar riesgos de Inyección SQL.

Aunque ya @LuisRomero ha respondido a lo esencial, sin ánimo de que marques esta respuesta como aceptada, considera escribir tu código más o menos así.

Lo comparto porque he trabajado la respuesta antes de que la respuesta de Luis fuese marcada como aceptada:

<?php
session_start();
ob_start();
require('90_0encab.inc');
require('92_0musr.inc');
if(isset($_POST['bt-011']))
{
    include('99_conn.php');
    $username = $_POST['username'];
    $clave = $_POST['clave'];

    $hash = password_hash($clave, PASSWORD_DEFAULT);

    if (password_verify($clave, $hash)) {
        echo '¡La contraseña es válida!';

//  $pass = password_hash($clave, PASSWORD_DEFAULT);
    $grupo = $_POST['grupo'];
    $error = '';
    $sql011 = "SELECT 98_idusr, 98_username, 98_clave, 98_grupo FROM $t98 WHERE 98_username = '$username' AND 98_grupo = '$grupo'";
    $res011 = mysqli_query($conexion,$sql011);
    $rows=$res011->num_rows;
    if ($rows > 0) {
        $row = $res011->fetch_assoc();
        $_SESSION['98_idusr'] = $row['98_idusr'];
        $_SESSION['username'] = $row['username'];
        $_SESSION['clave'] = $row['clave'];
        $_SESSION['grupo'] = $row['grupo'];
        $error= "El nombre de usuario o clave es incorrecto, Por favor vuelva a intentarlo";
        if ($grupo)
        {
            switch ($grupo)
            {
            case '1':   header('location: Index_dir.php');  break;
            case '2':   header('location: Index_adm.php');  break;
            case '3':   header('location: Index_ori.php');  break;
            case '4':   header('location: Index_eva.php');  break;
            case '5':   header('location: Index_con.php');  break;
            case '6':   header('location: Index_root.php'); break;
            default:    header('location: Index.html');     break;
            }

        }else{

            echo "La variable grupo no tiene datos";
        }

    }else{

        echo "No se encontraron registros.$username $pass $clave $grupo ";

    }


    } else {

        echo 'La contraseña no es válida.';
    }

}else{

    echo "No hay datos en el POST";
    //No sé de donde viene $conexion, así que cerramos aquí
    mysqli_close($conexion);

}
?>
1
  • Gracias A. Cedano como siempre, impecable lo tuyo. Funcionan ambas, las correcciones de Luis y tu codigo prolijito y acertado! Soy muy nueva aqui y no se como funcionan el asunto de los puntos, y esos otros anexos, pero te agradezco. Y creo que ahora no podés creer que ando 'de broma' por acá. Gracias! Commented el 27 sept. 2017 a las 20:58
0

si la clave está encriptada con passsword hash no puedes traerla con la consulta que haces,pues las hash nuevas que se generan van a ser a nivel de string diferentes, por tanto debes traerla y verificarla en el texto con password_verify($clave, $hashdeladb);

7
  • todos se alían contra mí, ahora intento hacerlo, debe ser como dicen ustedes! Commented el 27 sept. 2017 a las 19:56
  • Edito el codigo arriba, pero a mi no me parece 'normalito' sólo estoy comparando el nombre y el grupo, de si la clave tiene o no hash (disculpen) me parece que nada de nada. Commented el 27 sept. 2017 a las 20:07
  • Así me deriva a donde yo quiero pero me parece que no verifica en absoluto la clave, no se, me parece! Commented el 27 sept. 2017 a las 20:10
  • Así no en realidad estás haciendo mal es así $sql = ""SELECT 98_idusr, 98_username, 98_clave, 98_grupo FROM $t98 WHERE 98_username = '$username' AND 98_grupo = '$grupo'"; $res011 = mysqli_query($conexion,$sql011); $rows=$res011->num_rows; if ($rows > 0) { $row = $res011->fetch_assoc(); if(password_verify($clave,$row['clave'])){//aquí es donde haces la verificación echo 'clave correcta'; }else{echo 'clave incorrecta'; } /*agregas luego de acá el resto de tu código*/ Commented el 27 sept. 2017 a las 20:15
  • En realidad debe ser así, no puedes verificar la clave si no tienes el hash antes, es decir no puedes saber si la clave está bien o mal hasta no traer la ya encriptada de la base de datos, por eso debes hacer primero la consulta solo teniendo en cuenta where el nombre de usuario y lo demás pero no la clave, algo asíObtengo con mi consulta $nameuser= luis, $grupo=21, $id=1,$clave=!"3qa// osea clave encriptada// $plana=maria123 // esta es la clave sin encriptar ya teniendo eso sí puedo decir pasword_verify($cplana,$clave) que me devolverá true pues la encriptación y la clave plana son validas Commented el 27 sept. 2017 a las 20:32

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.