0

Hola mi consulta es la siguiente, tengo este código en el cual hay un contador que debe de incrementarse si después de hacer el recorrido por la base de datos encuentra el mismo valor ingresado en este caso el usuario, el tema es que antes me funcionaba pero ahora no y no se por que pues al no tener un incremento no va a la página de contenido.php sino a la otra, y los datos ingresados tanto usuario como contraseña esta correctos en la base.

<?php

try{

    $login=htmlentities(addslashes($_POST["login"]));

    $password=htmlentities(addslashes($_POST["password"]));

    $contador=0;

    $base=new PDO("mysql:host=localhost; dbname=gesyagro" , "alejo", "15898920");

    $base->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 


    $sql="SELECT * FROM documentacion_usuario WHERE DocUsuario= :login";

    $resultado=$base->prepare($sql);    

    $resultado->execute(array(":login"=>$login));

        while($registro=$resultado->fetch(PDO::FETCH_ASSOC)){           

            /*echo "Usuario: " . $registro['DocUsuario'] . " Contraseña: " . $registro['DocContrasena'] . "<br>";   
        }*/
            if (password_verify($password, $registro['DocContrasena'])) 
            {
                        $contador++;
            }       

        }

        if ($contador>0) {

            header("location: contenido.php");

            }else{

            header("location: Registro.html");
            }

        $resultado->closeCursor();
        }catch(Exception $e){

    die("Error: " . $e->getMessage());
}
1
  • no veo para qué usar htmlentities ni addslashes. Si tu intención es sanitizar la variable para evitar una inyección SQL, PDO de por sí sanitiza la variable en el execute, aunque yo optaría por hacer un $resultado->bindValue antes y llamar al execute sin argumentos
    – ffflabs
    el 22 mar. 2018 a las 12:14

1 respuesta 1

0

Algo me dice que entre htmlentities y addslashes el string $password no es lo que tu quieres que sea; intenta lo siguiente:

try{

 $login=htmlentities(addslashes($_POST["login"]));
 $password=htmlentities(addslashes($_POST["password"]));
 $base=new PDO("mysql:host=localhost; dbname=gesyagro" , "alejo", "15898920");

 $base->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 

 $resultado=$base->prepare("SELECT * FROM documentacion_usuario WHERE DocUsuario= :login");    
 $resultado->execute(array(":login"=>$login));

 while($registro=$resultado->fetch(PDO::FETCH_ASSOC)){           

    if (password_verify($password, $registro['DocContrasena'])){
      header("location: contenido.php");

    } else {
      throw new Exception('Verificación: ' . var_export(password_verify($password, $registro['DocContrasena']). true) , '<br />Usuario: ' .  $registro['DocUsuario'] . '<br />Contraseña DB: ' . var_export($registro['DocContrasena'], true) . '<br />Contraseña POST: ' . var_export($password, true)  );

      header("location: Registro.html");
    }
}

$resultado->closeCursor();
}catch(Exception $e){
  die("Error: " . $e->getMessage());
}

La verdad será revelada en el mensaje de la excepción.

Puedes sanitizar tu input usando las funciones filter_input() y filter_input_array() que justamente están diseñadas para ello en lugar de esas dos funciones que pueden modificar tu string.

3
  • Hola, trate de implementarlo como tu me dijiste pero me saca error, y el tema es que en vez de acceder al contenido se va a la página de registro. el 24 mar. 2018 a las 17:30
  • Puedes quitar el header para ver el mensaje de error antes de que seas redirigido
    – Solrac
    el 24 mar. 2018 a las 20:48
  • Hola, ya encontre el problema, era que en la BBDD tenia el campo de contraseña como varchar 50 y al estar enciptada claramente no iba a entrar asi que la puse de 255 y funciono todo, ahora esoy haciendo la sesion con session_start() y la variable $_SESSION el 24 mar. 2018 a las 23:36

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.