1

Estoy tratando de hacer un login, pero el problema viene cuando tengo que comparar la contrase?a cifrada devuelta de la BBDD, cuando la compruebo con password_verify() es como si no coincidiera con la que esta en la BBDD. Bueno aqui mi codigo

<?php


try {


    $base= new PDO("mysql:host=localhost; dbname=contador" , "root", "");

    $base->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    $sql="SELECT * FROM usuarios WHERE ID=:id AND usuario = :usuario AND contra= :contra";

    //contador

    $contador = 0;

    //preparar consulta
    $resultado=$base->prepare($sql);

    //recivir parametros de el formulario
    $login= htmlentities(addslashes($_POST['usuario']));
    $password = htmlentities(addslashes($_POST['contra']));
    $ID=0;


    $resultado->bindValue(":usuario", $login);
    $resultado->bindValue(":contra", $password);
    $resultado->bindValue(":id", $ID);


    $resultado->execute(array(":id"=>$ID, ":contra"=>$password, ":usuario"=>$login));

     $registro=$resultado->fetch(PDO::FETCH_ASSOC);         


    if (password_verify($password, $registro['contra'])) {

        $contador++;
    }


    $numero_registro=$resultado->rowCount();


    if ($numero_registro !=0 && $contador!=0){  

        session_start();

        $_SESSION['usuario']=$_POST['usuario'];

        header("location: http://192.168.1.31/contador/");


    }else{

        header("location: index.php");
    }

}catch(Exception $e) {



    die("Error: " .  $e->getMessage());


}

en vez de redireccionarme a http://192.168.1.31/contador/ lo hace a index.php

y la contrasena revise bien y si coincide a la que ingreso en el formulario. Tampoco me lanza algun tipo de error.

Este es el codigo con el que inseerte el registro

<?php
$host = 'localhost';
$user = 'root';
$pass = '';
$db = 'contador';

$conexion = new mysqli($host, $user, $pass, $db);

if (mysqli_connect_errno($conexion)) {

    echo 'Ha ocurrido un error al conectar a la base de datos';
    exit();

}

mysqli_set_charset($conexion, "utf8");

$contra_has = "contrasena";

$cifrada = password_hash($contra_has, PASSWORD_DEFAULT);

$sql = $conexion->query("INSERT INTO usuarios(usuario,contra) VALUES ('usuario', '$cifrada')");

if ($sql) {

    echo 'Se insertado correctamente';

}else{

    echo 'Ha ocurrido un error';
}

?>

1

2 respuestas 2

2

Si tu contraseña en la tabla está hasheada con password_hash y buscas en la tabla por una contraseña igual al texto plano que recibes por POST nunca van a coincidir. Debe ser:

$sql="SELECT * FROM usuarios WHERE   usuario = :usuario";

$resultado=$base->prepare($sql);

$resultado->execute(array(":usuario"=>$login));

$registro=$resultado->fetch(PDO::FETCH_ASSOC);         

if (password_verify($password, $registro['contra'])) {
   $contador++;
}

Edit: por recomendación de @Xerif, mejor quitar el ID porque la pantalla de login no va a pedir ese campo ni el backend tiene como adivinarlo antes de ejecutar la consulta.

5
  • Estas en lo correcto, pero el id no se conoce de antemano por lo que se debe buscar solo por el usuario y este debería ser un campo único. Por lo de más correcto
    – Xerif
    el 12 dic. 2017 a las 13:16
  • Sólo corregí el uso de su password_verify, asumí que el ID 0 estaba en duro para efectos del ejemplo.
    – ffflabs
    el 12 dic. 2017 a las 13:22
  • ¿en duro? No se a que te refieres con eso, en cualquier caso si no se puede saber ese campo de antemano es inútil utilizarlo, aún que el OP tampoc aclara mucho al respecto. En cualquier caso mi recomendación es que corrijas la respuesta para hacerla funcional. Te dejo mis puntos igualmente
    – Xerif
    el 12 dic. 2017 a las 13:33
  • en duro, hardcoded. Pero en fin, te hice caso y lo corregí.
    – ffflabs
    el 12 dic. 2017 a las 20:21
  • Muchas gracias a ambos, logre solucionarlo :) el 12 dic. 2017 a las 20:59
1

Hay varias cosas que podrían estar trayendo problemas en tu código. Las voy a enumerar aquí:

  1. No estableces la codificación a UTF-8 cuando creas la conexión a PDO
  2. El uso (que en este caso no sirve absolutamente para nada) de htmlentities y de addslashes. Has de saber que PDO es mayor de edad y que se protege sólo contra cualquier tipo de Inyección (a condición de que lo uses bien, mediante consultas preparadas). Además, como he demostrado en una respuesta al tema de la Inyección SQL, las dos funciones antes mencionadas se revelan inútiles para la protección de nuestro código.
  3. En PDO, no necesitas usar bindValue en este caso. Puedes bindear directamente en el execute.

En el código que propongo corrijo todo eso. Y además, me permito optimizar tu consulta (si quieres sólo la contraseña, no veo por qué tengas que hacer un SELECT *....

Me permití además optimizar la forma de obtener la contraseña, usando fetchColumn en lugar de fetch. Es simple: traemos sólo lo que necesitamos, nada más. No seas como quienes se van de viaje por tres días y llevan ropa por tres meses. Menos mal que hoy día te limitan por todas partes el equipaje. :)

Propongo que pruebes este código y comentes el resultado:

<?php

try {

    $base= new PDO("mysql:host=localhost; dbname=contador;charset=utf8" , "root", "");
    $base->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
    $sql="SELECT contra FROM usuarios WHERE ID=:id AND usuario = :usuario AND contra= :contra";

    //contador
    $contador = 0;

    //preparar consulta
    $resultado=$base->prepare($sql);

    //recibir parametros de el formulario
    $login= $_POST['usuario']);
    $password = $_POST['contra'];
    $ID=0;
    /*Esto es todo lo que PDO necesita en consultas preparadas*/
    $arrParams=array(":id"=>$ID, ":contra"=>$password, ":usuario"=>$login); 
    $resultado->execute($arrParams);

    $registro=$resultado->fetchColumn();         

    if (password_verify($password, $registro)) {

        $contador++;
    }

    $numero_registro=$resultado->rowCount();

    if ($numero_registro !=0 && $contador!=0){  

        session_start();
        $_SESSION['usuario']=$_POST['usuario'];
        header("location: http://192.168.1.31/contador/");

    }else{

        header("location: index.php");
    }

}catch(Exception $e) {
    die("Error: " .  $e->getMessage());

}

PD: Me extrañó también que usaras PDO para una cosa y MySQLi para otra. Usa una sola, o PDO o MySQLi. Yo te recomendaría PDO... es mejor, más seguro, más completo, más todo.

2
  • Sigue haciendo lo mismo, pero no entiendo porque todo parece estar correcto, aunque no lo sea :( el 12 dic. 2017 a las 6:34
  • Prueba modificando esto: $password = trim($_POST['contra']); y $registro=trim($resultado->fetchColumn());
    – A. Cedano
    el 12 dic. 2017 a las 9:08

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.