0

Tengo un problema que no se como validar sesion estoy utilizando password_hash y tengo el siguiente codigo en validacion y no eh podido validar este es el codigo

public function login($usuario, $password)
{
    $rows      = null;
    $statement = $this->bd->prepare("SELECT * from usuarios where username =:usuario AND password=:password");
    $statement->bindParam(':usuario', $usuario);
    $statement->bindParam(':password', $password);
    $statement->execute();
    if ($statement->rowCount() == 1) {
        $result                 = $statement->fetch();
        $_SESSION['nombre']     = $result['nombre_usuario'] . "" . $result['apellido'];
        $_SESSION['id']         = $result['id_usuario'];
        $_SESSION['tipo_nivel'] = $result['tipo_nivel'];
        $_SESSION['estado']     = $result['estatus'];
        return "true";
    } else {
        return "false";
    }
}

}

1
  • En esta respuesta que di hace algún tiempo puedes ver el uso de password_verify y password_hash es.stackoverflow.com/a/166704/38103 la contraseña no debes añadirla a la consulta, si no una vez que has obtenido el usuario verificar que la contraseña para el usuario es valida
    – Xerif
    Commented el 31 may. 2020 a las 14:28

2 respuestas 2

1

No debes buscar el usuario en la base de datos por la contraseña, debes hacerlo por el campo único, en tu caso entiendo que es username, una vez que has recuperado el usuario de la base de datos es cunado debes utilizar password_verify para comprobar si la contraseña es válida y en caso de serlo hacer lo que corresponda.

Te expongo un ejemplo comentado basado en tu código:

public function login($usuario, $password)
{
    // $rows      = null; esto no se utiliza
    // No pasamos la contraseña en la consulta y añadimos un LIMIT 1
    $statement = $this->bd->prepare("SELECT * from usuarios where username = :usuario LIMIT 1");
    $statement->bindParam(':usuario', $usuario);
    // No pasamos la contraseña en la consulta
    //$statement->bindParam(':password', $password);
    $statement->execute();

    // Comprobamos si se ha recuperado el usuario y lo asignamos
    if (!$result = $statement->fetch()) {
        // No existe el usuario y retornamos false o hacemos lo que corresponda
        return false;
    }

    // si existe el usuario verificamos la contraseña
    if (!password_verify($password, $result['password'])) {
        // la contraseña no es válida, retornamos false o hacemos lo que corresponda
        return false;
    }

    // si existe el usuario y la contraseña es válida asignamos el usuario a la session
    // y retornamos true
    $_SESSION['id']         = $result['id_usuario'];
    $_SESSION['estado']     = $result['estatus'];
    $_SESSION['nombre']     = $result['nombre_usuario'] . ' ' . $result['apellido'];
    $_SESSION['tipo_nivel'] = $result['tipo_nivel'];
    return true;
}

Documentación y enlaces que te pueden ayudar:

0

Como lo dice en la documentación de PHP , password_verify ( string $password , string $hash ) : bool , la función password_verify() necesita dos parámetros string, el $password que es el string puro del ususario y el $hash , que es el que está almacenado en la DB , entonces primero debe extraer de la DB el hash , imagino que estará en una columna llamada password , extraer ese dato y enviárselo a la función password_verify ($password(string puro), $hash(el de la DB)) , ésto le retornará true , si coincide y false , si no coincide.

4
  • Si, lo que no se es como meterlo a la cosulta del sql
    – Camilo34
    Commented el 31 may. 2020 a las 13:24
  • El primero es sensillo pide el parametro que ingresaron desde el formulario y el segundo no se como tomar el almacenado en la bd y acomodarlo a la consulta que temgo en el codigo
    – Camilo34
    Commented el 31 may. 2020 a las 13:26
  • Muchisimas gracias me ah funcionado a la perfeccion con tu valiosa ayuda
    – Camilo34
    Commented el 31 may. 2020 a las 19:00
  • @Camilo34 Genial, soy nuevo en stackOverFlow y me alegra haber contribuído :) Commented el 1 jun. 2020 a las 0:20

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.