Hay 2 puntos importantes que deberías tener en cuenta a la hora de plantear un login:
- Las consultas deberían ser preparadas para evitar infección SQL, puedes revisar esta pregunta
- Las contraseñas en base de datos deberían estar cifradas, puedes revisar esta pregunta
Ahora adaptemos el código, lo he comentado para que puedas entenderlo:
<?php
$msg="";
// $mail no es necesaria
/*$email="";*/
// con un isset es suficiente
if ( isset($_POST['email'], /*) && isset(*/ $_POST['password']) ) {
/*
if ($_POST['email']=="") {
$msg="Debe ingresar un email<br>";
}
else if ($_POST['password']=="") {
$msg.="Deberías ingresar pass";
} else {
*/
// esto es innecesario
//$email=strip_tags($_POST['email']);
//$password=sha1(strip_tags($_POST['password']));
// cambiamos a interfaz OO que es lo que usas más adelante
//$mysqli=mysqli_connect("localhost","root","","phptube");
$mysqli = new mysqli("localhost","root","","phptube");
// comprobamos si la conexión ha sido correcta
/*if ($mysqli==false) {
echo " No pudo conectarse a la DB";
die();
}*/
if ($mysqli->connect_error) {
die('Error de Conexión (' . $mysqli->connect_errno . ') ' . $mysqli->connect_error);
}
// Creamos una sentencia preparada solo con el email
// y añadimos LIMIT 1, para no seguir buscando cuando ya hemos encontrado un registro
//$resultado=$mysqli->query("SELECT * FROM `usuarios` WHERE `usuarios_email`= '".$email."' AND `usuarios_password`='".$password."'");
if ($stmt = $mysqli->prepare('SELECT * FROM usuarios WHERE usuarios_email = ? LIMIT 1')) {
// vinculamos los valores
$stmt->bind_param("s", $_POST['email']);
// ejecutamos la sentencia
if (!$stmt->execute()) {
die("Falló la ejecución: (" . $stmt->errno . ") " . $stmt->error);
}
// recuperamos los resultados
if (!($resultado = $stmt->get_result())) {
die("Falló la obtención del conjunto de resultados: (" . $stmt->errno . ") " . $stmt->error);
}
// comprobamos si hay resultados y recuperamos la primera y unica fila
/*usuarios=$resultado->fetch_all(MYSQLI_ASSOC);*/
if (!$row = $resultado->fetch_assoc()) {
$msg .= "No se encontró el usuario.";
} else {
// ahora comparamos las claves
// aquí deberíamos utilizar password_verify si las claves son cifradas
if($row['usuarios_password'] == $_POST['password']){
$msg.="Lograste acceder!";
// actualizamos la fecha
$mysqli->query("UPDATE usuarios SET usuarios_ultimologin = NOW() WHERE usuarios_email = '$row['usuarios_email']' ");
} else {
$msg.="Contraseña incorrecta!";
}
}
} else {
die('Error no se pudo preparar la consulta');
}
//cuentos los elementos de mysql_list_tables
/*
$cantidad =count($usuarios);
if ($cantidad == 1) {
$hoy= date( "Y-m-d H:i:s" );
$resultado=$mysqli->query("UPDATE `usuarios` SET`usuarios_ultimologin`= '".$hoy."' WHERE `usuarios_email`='".$email."'");
$msg.="Lograste acceder!";
}else{ $msg.="no tienes acceso"; }
*/
/* }*/
}
Aunque he puesto varios die()
para que te ayude a depurar estos deberían ser cambiados de forma que no se le muestre información al usuario sobre la base de datos para un entorno en producción
Documentación:
var_dump($usuarios);
fetch_all
no te va a funcionar si no tienes instalado el drivemysqlnd
. De todos modos puedes usar otros métodos para comprobar si ese usuario existe. Lo más efectivo, si no necesitas los datos, es hacer unSELECT COUNT(*)
y verificar si el total de filas es mayor que cero.