1

Buenas noches chicos y chicas. Queria hacer una pregunta sobre mi codigo. Estuve investigando sobre usar statements predefinidos para hacer mi codigo mas seguro a inyecciones SQL. Pero sucede que cuando el usuario ejecuta el formulario, este no procesa la peticion, sino que se refresca y quedan todos los campos vacíos de nuevo. Me he asegurado de que las tablas de las bases de datos esten bien escritas y me he asegurado tambien de que las estaba llamando correctamente en mi PHP. He aislado bloques del codigo y he corrido diversos if() statements para ver que ocurria, he hecho preguntas a personas con las cuales comparto la pasion de programar. Pero no encuentro un error. Y para colmo, se ve que el sintaxis del codigo esta bien porque el servidor no crea ningun error_log

Aqui el codigo:

    //verificar conexion
    if($mysqli->connect_errno){
        printf("Conexion fallida: %s/n", $mysqli->connect_error);
    }
    //sanitizar variables
    $username = $mysqli->real_escape_string($_POST['usuario']);
    $password = $mysqli->real_escape_string($_POST['password']);
    //tema query
    mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
    $query = "SELECT * FROM usuarios WHERE username =? AND pass =? AND active = 1 LIMIT 1";
    $stmt = $mysqli->prepare($query);
    $stmt->bind_param("ss",$username,$password);
    $stmt->execute();
    $result = $stmt->get_result()->fetch_assoc();
    $stmt->close();
    CloseCon($mysqli);
   while($result){
        $contra = $result['pass'];
        $row = $result['active'];
        $nombre = $result['username'];
        $pwdCheck = password_verify($_POST['password'], $contra['pass']); //devuelve un string
        if($pwdCheck == true && $row == true && $nombre == $username){
            $_SESSION['user'] = $username; //set the session
            header("Location: inicio.php");
        }else{
            array_push($errores_de_inicio, "El usuario o la contraseña no coinciden o su usario no esta activado");
            header("Location: login.php");
        }   
}
}
}```

He intentado redirigir con JS tambien. Pero juro que no tengo mas idea de nada, estoy hace cuatro dias seguramente así.
Agradeceria muchisimo su ayuda, espero que tengan unas buenas noches.

PD: La finalidad del login form presentado ahi es la de verificar si la contraseña y el usuario fueron ingresadas correctamente y si ademas esta activado. Las tablas que estan en mi BD son: "id" "username" "email" "pass" "vkey" "date" "active"
4
  • Cabe resaltar que tambien me he "copiado" de la documentacion de PHP jiji
    – idunno
    el 4 jun. 2020 a las 7:23
  • 1
    En esta linea no debería ir solo $contra ? $pwdCheck = password_verify($_POST['password'], $contra);
    – Sr1871
    el 4 jun. 2020 a las 7:45
  • Puedes tener razon, dejame intentar
    – idunno
    el 4 jun. 2020 a las 7:48
  • nop, no ha funcionado :C
    – idunno
    el 4 jun. 2020 a las 7:50

3 respuestas 3

2

Al realizar la consulta, busca solo por nombre de usuario, el resto lo vas a comparar leyendo el registro (si es que hay un valor).

De hecho, no te funciona porque estás buscando también la contraseña en la consulta, pero recuerda que está codificada y lo único que puedes hacer es extraerla de la base de datos y comparar con la que se ingresó por formulario.

Después de una redirigir con header() es necesario incluir exit; para detener el script y evitar errores posteriores.

Por último, no es necesario cerrar consultas o conexiones a base de datos, a menos que se trate de un caso muy específico, PHP tiene una característica llamada Recolector de basura que se encarga de hacer eso por ti.

//verificar conexion
if($mysqli->connect_errno){
    printf("Conexion fallida: %s/n", $mysqli->connect_error);
    exit; // Finaliza la ejecución del script
}
// No es necesario escapar variables, las sentencias preparadas lo hacen por ti
$username = $_POST['usuario'];
$password = $_POST['password'];
//tema query
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);
// No incluyas la contraseña ni 'active' en los campos a buscar, solo el nombre de usuario
$query = "SELECT * FROM usuarios WHERE username =?";
$stmt = $mysqli->prepare($query);
$stmt->bind_param("s",$username);
$stmt->execute();
$result = $stmt->get_result()->fetch_assoc();
// if en lugar de while, solo vas a obtener una fila
if($result) {
    if($result['active'] != 1) {
        // El usuario no está activo, redirige a donde pueda activar
        $errores_de_inicio[] = 'La cuenta de usuario no está activa.';
        header('Location: login.php');
        exit;
    } elseif(!password_verify($password, $result['pass'])) {
        // La contraseña no es correcta
        $errores_de_inicio[] = 'Nombre de usuario o contraseña incorrectos.';
        header('Location: login.php');
        exit;
    } else {
        // El usuario está activo y la contraseña es correcta
        $_SESSION['user'] = $result['username'];
        header('Location: inicio.php');
        exit;
    }
} else {
    // Usuario incorrecto
    $errores_de_inicio[] = 'Nombre de usuario o contraseña incorrectos.';
    header('Location: login.php');
    exit;
}
1
  • 1
    Nananana eres un genio. Gracias a usted y a todos los que me respondieron pude aprender muchisimo. Gracias por hacer de esta comunidad un lugar excelente. Me retiro a seguir estudiando <3
    – idunno
    el 4 jun. 2020 a las 21:04
2

Se me ocurre que podrías estar cerrando la conexión demasiado pronto. Prueba a cerrar la conexión después del "while" en vez de antes.

while($result){
//tu código 
}

$stmt->close();
CloseCon($mysqli);
9
  • Dejame intentar Javi, muchas gracias por tomarte tu tiempo
    – idunno
    el 4 jun. 2020 a las 7:46
  • No funciono :C pero lo que decis es correcto porque esta en la documentacion, dejame probar con otra cosa, gracias Javi
    – idunno
    el 4 jun. 2020 a las 7:47
  • Si te lleva al login, que está en el "else", es porque no se cumplen las condiciones del "if", así que podrías investigar por qué ocurre esto. Pon antes del "if" esta línea: echo "pwdCheck=".$pwdCheck."<br> row=".$row."<br> nombre=".$nombre."<br> username=".$username; Así ves el resultado de la comparación del "if". Creo que $row estará recibiendo un 1 el 4 jun. 2020 a las 8:13
  • Perfecto Javi, recien veo esto. Muchas gracias por tomarte el tiempo en responder. Ahi te comunico que es lo que imprime en pantalla
    – idunno
    el 4 jun. 2020 a las 19:29
  • Buenas, acabo de agregar la linea antes del if. Pero no imprime nada en pantalla. Lo cual me hace pensar que posiblemente sea que la variable $result este dando false. ¿Pero como es esto posible?
    – idunno
    el 4 jun. 2020 a las 19:33
1

es necesario colocar $contra['pass'] cuando en la variable $contra ya está especificado?

Me refiero a que ya tienes $result['pass'].

Esto en la variable $pwdCheck.

1
  • Lo acabo de corregir, tienes razon. Pero sigue sin funcionar, debe ser un problema en mi if statement :(
    – idunno
    el 4 jun. 2020 a las 19:31

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.