2

Tengo mi login en el que para verificar la cuenta utilizo la siguiente funcion:

public function verificarCuenta($nombreUsuario_Email,$password){
    $conexion = $this->c->conectar();

    $sql = "SELECT * 
            FROM usuarios
            WHERE
            (usuario = '$nombreUsuario_Email' or email = '$nombreUsuario_Email')";

    var_dump($sql);
    $result = $conexion->query($sql);

    // var_dump( $result);
    // var_dump($result->num_rows);

    if ($result->num_rows > 0) {
        $array_data =  $result->fetch_array();
        // var_dump($array_data);
        // var_dump(password_verify($password,$array_data['password']));

        echo "Existe el 'usuario";
        if (password_verify($password,$array_data['password'])) {
            // var_dump($array_data['usuario']);
            return  $array_data['usuario'];
        }
     }else{
        return false;
     }
}

Me he dado cuenta que llega hasta el echo "Existe el usuario" pero cuando llega a esta función de verificar la contraseña encriptada no entra en el if

if (password_verify($password,$array_data['password'])) {
    // var_dump($array_data['usuario']);
    return  $array_data['usuario'];
}

Nota: La contraseña obviamente es correcta

6
  • 1
    ¿Cómo está definida en la tabla tu columna de password (tipo de dato y tamaño)? ¿Estás seteando tu conexión a la base de datos con el charset utf8?
    – A. Cedano
    Commented el 23 abr. 2019 a las 11:54
  • nombre campo : password - Tipo : VARCHAR(50) - Predeterminado : Ninguno - Cotejamiento : latin_swedish_ci y lo demas vacio
    – josanangel
    Commented el 23 abr. 2019 a las 12:09
  • @A.Cedano con lo de setear que te refieres en mi fichero conexion.php o en la base de datos
    – josanangel
    Commented el 23 abr. 2019 a las 12:10
  • 2
    Cuando creas la conexión a la base de datos, conviene que establezcas el charset a utf8, supongo que será en tu archivo conexión. En cuanto al tamaño de tu campo me parece pequeño un varchar(50), habría que leer la documentación para saber cuál es el tamaño recomendado para campos donde se van a guardar hash de passwords, depende también del tipo de encriptación que estés usando al momento de guardar la clave.
    – A. Cedano
    Commented el 23 abr. 2019 a las 12:12
  • 1
    @A.Cedano Eso era, mil gracias!! Lo que estaba pasandp es que, como tu decias, poner el campo limitado a 50 caracteres truncaba el hash que estaba creado y solo guardarba los primeros 50 caracteres del hash y es por eso que nunca coincidia. Dios ! lo que me ha costado, tu llegas y lo ves sin ni siquiera tener el codigo. De verdad muchas gracias
    – josanangel
    Commented el 23 abr. 2019 a las 12:22

4 respuestas 4

3

Para verificar una contraseña hay que tener en cuenta algunas cosas que pueden influir en que el dato obtenido en la consulta no coincida al momento de la verificación:

  1. Establecer un juego de caracteres adecuado (lo más seguro es setear la conexión al charset utf8).
  2. Para comprobar con password_verify se sobre-entiende que el dato con el que se compara es una contraseña que previamente ha sido creada mediante password_hash
  3. Hay que tener cuidado con el tamaño con que declaras el campo en la base de datos. Si la declaras con un tamaño menor, al crearse el hash éste puede quedar truncado y la verificación nunca se va a realizar por ese motivo. Ver esta respuesta, que da una orientación sobre el tipo y tamaño de dato que sería recomendable, según el tipo de encriptación que se use al momento de crear el hash.

En cuanto a tu código, considera el uso de consultas preparadas para evitar el grave peligro de la Inyección SQL, y usa funciones específicas para obtener los datos (digo esto último porque fetch_array te crea un resultado duplicado, uno con índice numérico y otro con índice asociativo. En caso de un fecth, lo específico sería usar fetch_assoc. Pero para este caso es mejor hacer un SELECT explícito (siempre los SELECT deberían ser explícitos) y usar bind_result para mapear los resultados de cada columna a una variable.

He aquí una forma de optimizar el código:

public function verificarCuenta($nombreUsuario_Email,$password){
    $conexion = $this->c->conectar();
    $mResult=FALSE;
    $sql = "SELECT usuario, password 
            FROM usuarios
            WHERE
            (usuario = ? or email = ?) LIMIT 1";
    if ($stmt = $conexion->prepare($sql)) {
        $stmt->bind_param("ss", $nombreUsuario_Email,$nombreUsuario_Email);
        $stmt->execute();
        $stmt->store_result();
        if($stmt->num_rows > 0) {
            $stmt->bind_result($mUser,$mPassword);
            $stmt->fetch();          
            if (password_verify($password,$mPassword)) {
                $mResult=$mUsuario;
            }else{
                $mResult="No coinciden";
            }
        } else {
            $mResult="No hay filas encontradas";
        }
    } else {
        $mResult="Error en la consulta: ".$conexion->error;
    }
    return $mResult;
}
1

¿Has comprobado que en la Base de Datos se está guardando bien el hash de la contraseña?

La comprobación la puedes hacer hacer si no de la siguiente forma:

if(hash('ALGORITMO', $password) === $array_data['password']){
return  $array_data['usuario'];
}

Si te sirve esta solución, ten en cuenta que en la comparación en la comparación se está usando el comparador estricto ( === ).

Un saludo!

5
  • Si, en mi base de datos esta bien guardado
    – josanangel
    Commented el 23 abr. 2019 a las 11:37
  • Lo que mas me toca la moral es que todo mi codigo iba perfectamente, pero al reinstalar wamp dejo de ir y me pase a XAMP entonces es como si nunca hubiese ido nada y estoy retocando todo hasta dar con la tecla. Es super absurdo lo que me esta pasando
    – josanangel
    Commented el 23 abr. 2019 a las 11:38
  • Que raro. Lo mismo es cualquier tontería de configuración del php.ini o la propia versión de PHP
    – Rafa Sojo
    Commented el 23 abr. 2019 a las 11:41
  • Una pregunta, si hago un hash a una contraseña por ejemplo: la palabra hola me devuelve un un string encriptado , si ahora le vuelvo a hacer a hola el mismo proceso, debe de devolverme el mismo hash encriptado ?
    – josanangel
    Commented el 23 abr. 2019 a las 12:05
  • Si, si haces el hash de una cadena de texto, siempre va a salir lo mismo. Si te sale diferente, comprueba con qué estas haciendo el hash y que meta salt ni nada extraño
    – Rafa Sojo
    Commented el 24 abr. 2019 a las 22:42
1

Comprueba si estás guardando la contraseña encriptada adecuadamente. password_verify solo funciona en una contraseña creada mediante password_hash()

$hash =password_hash("1234", PASSWORD_DEFAULT);

  if (password_verify('1234', $hash)) {
    echo '¡La contraseña es válida!';
  } else {
    echo 'La contraseña no es válida.';
}
0

Usa el hash de contraseña, y verifica e ingresa a la base de datos mediante un query:

$contrasena = password_hash($contrasena, PASSWORD_DEFAULT);

if(password_verify($contrasena2,$contrasena)){
    echo 'contraseña es válida <br/>'; 
    $sql_agregar = 'INSERT INTO usuarios(nombre,contrasena) VALUES (?,?)'; 
    $sentencia_agregar =$pdo->prepare($sql_agregar); 

    if($sentencia_agregar->execute(array($usuario_nuevo,$contrasena))) { 
        echo 'agregado <br>';
    } else {
        echo 'error <br>';
    } 

    $sentencia_agregar = null;
    $pdo = null;
} else {
    echo 'no coinciden las contraseñas';
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.