1

Estoy tratando de hacer un login y estoy utilizando PDO. Este es mi código

Formulario

<form method="POST" action="ajax.php?mode=login" class="form-signin">

          <h1 class="h3 mb-3 font-weight-normal">Iniciar Sesión</h1>
          <label for="inputUser" class="sr-only">Usuario</label>
          <input type="text" name="user" id="inputUser" placeholder="Usuario" required autofocus>

          <input type="password" name="pass" id="inputPass" placeholder="Contraseña"  required>
          <div class="checkbox mb-3">
            <label>
              <input type="checkbox" value="remember-me"> Recordar me
            </label>
          </div>
          <button class="btn-primary" type="submit">Iniciar Sesión</button>
          <p class="mt-5 mb-3 text-muted">&copy; 2017-2018</p>
        </form>

Código PHP

if(!empty($_POST['user']) AND !empty($_POST['pass'])) {

        $db=Conexion::conectar();
        $usuario = $_POST['user'];
        $pass = $_POST['pass'];

        $sql=$db->query("SELECT empleado.id_empleado, empleado.cedula, datos_empleado.nombre, datos_empleado.apellido,  datos_empleado.sueldo, empleado.usuario, empleado.correo, empleado.telefono, direc_ciudad.ciudad, roles.roles FROM empleado INNER JOIN datos_empleado ON empleado.id_empleado=datos_empleado.id_empleado INNER JOIN direc_ciudad ON empleado.id_ciudad=direc_ciudad.id_ciudad INNER JOIN roles ON datos_empleado.id_roles=roles.id_roles WHERE usuario='$usuario' AND pass='$pass' LIMIT 1;");
         $sql->execute();
        $fila=$sql->fetch(PDO::FETCH_ASSOC);
        var_dump($fila);

    }else {
         echo '<script>
        alert("Error ! El Usuario y/o Contraseñas son Incorrectos");
        window.history.go(-1); 
        </script>
        ';
    }

cuando recorro la consulta, no encuentra datos, le lanzo un var_dump a la variable $fila y me devuelve un bool(false) pero sé que la consulta esta bien hecha.

Por qué será?

3
  • si estas usando PDO, tus variables deberían pasar en forma de marcadores asi :variable y después en un array pasar el nombre de las variables, pues del modo que lo haces eres vulnerable a SQL INJECTION
    – user75901
    Commented el 7 jul. 2018 a las 14:20
  • en el archivo php lo tienes separado con clases y metodos? Commented el 7 jul. 2018 a las 14:45
  • solo la conexion Commented el 8 jul. 2018 a las 3:15

1 respuesta 1

2

Una consulta puede fallar por muchos motivos, entre ellos, que la conexión a la BD sea nula, que haya un error de sintaxis en ella... puede haber también consultas vacías porque no se cumplen los criterios. Puede fallar por un problema de codificación, cuando hay contenido con acentos o ñ y no se está manejando bien la codificación, etc, etc, etc.

Aquí estás cometiendo otro error, que es mal usando las consultas preparadas, las cuales existen precisamente para no pasar datos de variables provenientes del exterior directamente en la consulta, por el grave riesgo de la inyección SQL.

Además estás mezclando dos conceptos: consultas sin preparar, en las cuales se usa query, y consultas preparadas en las cuales de usa prepare ... execute. Al usar por un lado query y por otro execute, hay una mezcla de conceptos que conducirá necesariamente a error (Gracias @LuiscYm) .

Como solución, puedes cambiar las variables por marcadores en la instrucción SQL, y pasar esas variables en forma de array en el execute. De ese modo el código queda blindado contra la inyección.

Verás que donde tú ponías esto en la consulta: WHERE usuario='$usuario' AND pass='$pass' yo he puesto esto: WHERE usuario=? AND pass=?, de eso modo, las variables no viajan directamente para ejecutarse en la consulta, porque un usuario mal intencionado puede amañarlas para introducir código malicioso en ellas. Verás también que he creado un array con las variables llamado $arrParams y paso ese array en el execute. De ese modo, si hay datos engañosos en las variables PDO los detectará e impedirá que la consulta tramposa sea ejecutada para perdición tuya :) . Es así explicado brevemente como funcioanan las consultas preparadas.

Dado que de todos modos la ejecución puede fallar, he puesto una estructura de control para ello, imprimiendo el mensaje de error en caso de que la consulta falle.

Esto es solo una propuesta, ya que dependiendo del contexto, no siempre conviene mostrar todo al usuario. Tú puedes por tanto controlar cuando hay error y mostrar un mensaje personalizado, tomando solo una parte de lo que arroja errorInfo.

Prueba con este código, en el cual he aplicado todo lo dicho más arriba. También, para obtener las variables he usado un estilo que me parece más limpio, aprovechando los operadores ternarios (eso lo puedes dejar como lo tenías si prefieres).

Prueba y comenta el resultado:

/*
    *Una técnica quizá más limpia consiste en usar operadores ternario
    *que nos permiten evaluar el POST y asignar su valor a variables
    *o NULL en caso de que estén vacías
    *Luego ya tenemos las variables y sólo controlamos su estado
*/
$usuario = (!empty($_POST['user'])) ? $_POST['user'] : NULL;
$pass    = (!empty($_POST['pass'])) ? $_POST['pass'] : NULL;

if($usuario && $pass) {
    $db=Conexion::conectar();
    if($db){
        $strSQL="SELECT 
                        empleado.id_empleado, 
                        empleado.cedula, 
                        datos_empleado.nombre, 
                        datos_empleado.apellido,  
                        datos_empleado.sueldo, 
                        empleado.usuario, 
                        empleado.correo, 
                        empleado.telefono, 
                        direc_ciudad.ciudad, 
                        roles.roles
                 FROM empleado 
                    INNER JOIN datos_empleado ON empleado.id_empleado=datos_empleado.id_empleado 
                    INNER JOIN direc_ciudad ON empleado.id_ciudad=direc_ciudad.id_ciudad 
                    INNER JOIN roles ON datos_empleado.id_roles=roles.id_roles 
                 WHERE usuario=? AND pass=? LIMIT 1;"
        $sql=$db->prepare($strSQL);
        $arrParams=array($usuario,$pass);
        if ($sql->execute($arrParams)){
            $fila=$sql->fetch(PDO::FETCH_ASSOC);
            var_dump($fila);
        }else{
            print_r($db->errorInfo());
        }

    }else{
        echo "No hay conexión a la BD";
    }
}else{
    echo '<script>
            alert("Error ! El Usuario y/o Contraseñas son Incorrectos");
            window.history.go(-1); 
          </script>
         ';
}
2
  • Bueno el principio básico de esta respuesta es adecuada, solo una duda ¿cuando se pasan parámetros a la consulta no es mejor utilizar la función prepare() en lugar de query()?, tal como se indica en la está página mustbebuilt.co.uk/php/select-statements-with-pdo, "The PDO prepare() and execute() methods are considered a more secure approach especially with queries using values"
    – LuiscYm
    Commented el 7 jul. 2018 a las 14:52
  • @LuiscYm sí sí, gracias. No me di cuenta de ello. Grave error de observación por mi parte. Ahora lo corrijo.
    – A. Cedano
    Commented el 7 jul. 2018 a las 14:55

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.