0

Estoy tratando de comparar una contraseña enviada desde un formulario con una extraída de una consulta.

Me he percatado de que los datos estén correctos, pero el problema sigue. Debe ser algo de mi código, por aquí lo dejo. No me arroja ningún error ni nada:

     public function __construct(){

        $conectar = new Conexion();

        $this->usuario = $_POST['usuario'];
        $this->contra = $_POST['contra'];

        $this->consult = "SELECT * FROM usuarios WHERE CORREO= :usuario";

        $this->reslt = $conectar->base->prepare($this->consult);
        $this->reslt->execute(array(":usuario"=>$this->usuario));

        $this->registro = $this->reslt->fetch(PDO::FETCH_ASSOC);

        if(password_verify($this->contra, $this->registro['CONTRA'])){


            self::existe();

        }else{

           self::noExiste();

        }



    }

}
5
  • 1
    ¿Has comprobado que el campo de la base de datos que guarda el hash sea suficientemente grande como para albergar TODO el hash completo y que éste no ha sido cortado? Imagino que la clave que almacenaste en la base de datos la creaste con password_hash(), ¿cierto? el 13 mar. 2018 a las 9:24
  • Te mando un extracto de la documentación: Usar el algoritmo bcrypt (predeterminado a partir de PHP 5.5.0). Observe que esta constante está diseñada para cambiar siempre que se añada un algoritmo nuevo y más fuerte a PHP. Por esta razón, la longitud del resultado de usar este identificador puede cambiar con el tiempo. Por lo tanto, se recomienda almacenar el resultado en una columna de una base de datos que pueda apliarse a más de 60 caracteres (255 caracteres sería una buena elección). el 13 mar. 2018 a las 9:28
  • Aparte de lo que te dice @OscarGarcia. La comprobación podría fallar por otros motivos, entre ellos: 1. Que simplemente no estés recibiendo nada en la variable $this->registro['CONTRA'], por lo tanto, puedes depurar lo que hay en esa variable mediante var_dump($this->registro['CONTRA']); ; 2. Un problema de juego de caracteres. Para evitarlo, establece el charset utf-8 a la conexión actual. Esto conviene hacerlo siempre, mejor en la clase Conexionque usas, aunque aquí, para fines de prueba, puedes hacerlo así: $conectar->exec("set names utf8");
    – A. Cedano
    el 13 mar. 2018 a las 10:09
  • Qué es lo que devuelve Conexion()? Qué base de datos usas y qué driver? Al ojo pareciera que estás usando PDO, pero no entiendo el uso de $conectar->base. Si $conectar es la conexión misma, debieras usar $conectar->prepare
    – ffflabs
    el 13 mar. 2018 a las 11:29
  • Listo, fue un descuido mio, no puse la longitud correcta en el campo CONTRA. Muchas gracias. el 13 mar. 2018 a las 15:58

1 respuesta 1

1

No entiendo bien el propósito de

$conectar->base->prepare

Si tu intención es correr la consulta en la base de datos base, al menos en PDO, el objeto de conexión no soporta esa sintaxis para cambiarse de base de datos, si es que estableciste la conexión sin especificar una. La manera correcta sería:

$conectar->exec('USE mi_base');
$conectar->prepare(...);

Eso puede ser el origen del problema. Ahora bien, no parece del todo lógico que tu constructor sea el encargado de manejar las variables $_POST. Yo en cambio haría que el constructor instanciara la conexión y añadiría un método para verificar la contraseña. Algo como:

class CheckUser {

    private $_conn;

    public function __construct() {
        $this->_conn = new Conexion();
    }

    public function checkPassword($usuario, $password) {

        $stmt = $this->_conn->prepare("SELECT contra FROM usuarios WHERE correo = :usuario;");

        $stmt->bindValue(':usuario', $usuario, \PDO::PARAM_STR);
        $stmt->execute();
        $registros = $stmt->fetchAll(\PDO::FETCH_ASSOC);

        if (count($registros) === 0) {
            return self::noexiste();
        }
        $registro = $registros[0];

        if (password_verify($password, $registro['contra'])) {
            return self::correcta();
        }

        return self::incorrecta();
    }

    public static function correcta() {
        echo 'Contraseña correcta';
    }

    public static function incorrecta() {
        echo 'Contraseña incorrecta';
    }

    public static function noexiste() {
        echo 'Usuario no existe';
    }

}

Como verás, ese enfoque asume que el campo correo es una llave única, y también contempla tres casos:

  • usuario no existe en la BBDD
  • usuario existe y su contraseña es correcta
  • usuario existe y su contraseña es incorrecta

Y en la parte procedural de tu código, en donde manejas las variables del request, harías:

$userChecker = new CheckUser();

$userChecker->checkPassword($_POST['usuario'], $_POST['contra']);

Si estás usando otro driver (mysqli en particular) la sintaxis cambia, pero la estructura que te sugiero es la misma.

De este modo la clase está completamente desacoplada de las variables del request y podrás usarla para soportar otros métodos de autentificación: por $_GET (mala idea!), por variables de entorno (esa sí es buena opción), o por el payload en una petición en donde usuario y contraseña vengan en el body del objeto.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.