3

Mi consulta es que tengo un formulario de registro en el que se pide almacenar una contraseña, el formulario funciona correctamente y lo que sigue es encriptar la contraseña, ando utilizando la función password_hash sin embargo no consigo tener la sintaxis correcta para que al registrar la contraseña esta quede encriptada en la BD.

Adjunto el código PHP

<?php
//include "Conex1.php";

$conexion = mysqli_connect("localhost", "root", "", "gesy_agro");

 echo "Conexion realizada";
 $sql= "INSERT INTO `documentacion_usuario` (`DocNombre`,`DocCedula`, `DocCorreo`, `DocDireccion`, `DocTelefono`, `DocUsuario`, `DocContraseña`) VALUES ('$_POST[Nombres]',$_POST[Cedula], '$_POST[Correo]', '$_POST[Direccion]', '$_POST[Telefono]', '$_POST[Usuario]', $_POST[Contraseña])";


    $password = password_hash($Contraseña, PASSWORD_BCRYPT, ['cost' => 11]);
    echo "$password";

if (!mysqli_query($conexion, $sql)) {
        echo "Error: ,". mysqli_error($conexion);


//$result = mysqli_query($conexion, $query);
mysqli_close($conexion);
}
?>

2 respuestas 2

4

En primer lugar el proceso de hashing con la función password_hash se realiza después de asignar los valores correctamente para la sentencia SQL. Tal y como está su código se añadirán los valores que llegan por POST , Pero . tiene problemas muy graves de seguridad al concatenar los valores a su consulta, presta a recibir Ataques de Inyección SQL. En su lugar debe preparar la consulta para evitar estas fallas de seguridad.

Ejm (posible código)

$nombres = $_POST['Nombres'];
$cedula = $_POST['Cedula'];
$correo = $_POST['Correo'];
$direccion = $_POST['Direccion'];
$telefono = $_POST['Telefono'];
$usuario = $_POST['Usuario'];
//Encriptamos el valor de contrasenia
$contrasenia = password_hash($_POST['Contrasenia'], PASSWORD_BCRYPT, ['cost' => 11]);


$mysqli = new mysqli("localhost", "root", "", "gesy_agro");
// Tantos marcadores como campos en su base de datos  7 para su caso
if ($stmt = $mysqli->prepare("INSERT INTO `documentacion_usuario` (`DocNombre`,`DocCedula`, `DocCorreo`, `DocDireccion`, `DocTelefono`, `DocUsuario`, `DocContraseña`) VALUES (?,?, ?, ?, ?, ?, ?)")) {

    /* ligar parámetros para marcadores ? , luego la S significa que será de tipo String  */
    $stmt->bind_param("sssssss", $nombres,$cedula,$correo,$direccion,$telefono,$usuario,$contrasenia);
    /* ejecutar la consulta */
    $stmt->execute();
}

Una consideración importante en mi ejemplo es el reemplazo de la letra ñ tanto para el valor del post como para el nombre de campo de la base de datos DocContrasenia ya que el uso de esta puede traer resultados inesperados, es por eso que debería reemplazar en su input del form que envía los datos.

1
  • 1
    Amigo muchas gracias por la ayuda, en efecto me sirvio el código! ya logré encriptar la contraseña. Commented el 22 feb. 2018 a las 1:11
2

Hola te comento que revise tu pregunta y propongo el siguiente ejemplo donde puedo generar el hash correspondiente; luego entonces lo único que deberías hacer es pasar el nombre de la variable al INSERT SQL para que se almacene en la Base de Datos.

<?php
$name = '';

function store($name) 
{
    return password_hash($name, PASSWORD_BCRYPT);
}

echo store('Alfredo');

y Te comento que me devuelve:

$2y$10$wv/mofEWT/KBqFlj4ENZRuhna6.d/TDGhTegVlVHBZ2O2XEcUuOp.

El segundo parámetro PASSWORD_BCRYPT es usado para crear nuevos hashes de un password usando el algoritmo CRYPT_BLOWFISH

2
  • 2
    Me funcionó, garcias :) Commented el 22 feb. 2018 a las 1:11
  • 1
    No es necesario tener un método adicional cuando el método ya es password_hash es decisión del autor de la pregunta aceptar la respuesta que mejor le parezca solo hay que tener en cuenta que esta respuesta no soluciona el problema de raíz y tampoco tiene en cuenta el grave fallo de seguridad al concatenar valores.
    – Dev. Joel
    Commented el 23 feb. 2018 a las 4:52

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.