0

Estoy intentando hacer el login con password_hash y tengo el problema al hacer password_verify, os confirmo que el password es correcto, que me guarda bien en la base de datos, pero y despues de debugear varias veces, el problema esta cuando hace el password_verify, no hace true y salta, y por mas que miro no veo el error. La primer parte del login es del controlador, entra en PersonaDAO cuando llama a loginHash, y la segunda parte es el metodo loginHash. Ya os digo cuando entra en loginHash en password_verify da false y no entra, pero compruebo en depuracion, que el password es el correcto, que passwordE recupera bien de la base de datos la cadena.

// Botón de login
if (isset($_REQUEST['login'])) {
    // Comprobación reCaptcha v3
    // Construyendo el POST request
    $recaptchaURL = 'https://www.google.com/recaptcha/api/siteverify';
    $recaptchaSecret = '6LchkOQZAAAAAG2wQ5HML903c3RT6pEXfwSO9zHz';
    $recaptchaResponse = $_POST['recaptchaResponse'];

    // Haciendo el requiest y decodoficándolo
    $recaptcha = file_get_contents($recaptchaURL . '?secret=' . $recaptchaSecret . '&response=' . $recaptchaResponse);
    $recaptcha = json_decode($recaptcha);

    // Verificación de que el usuario es humano
    if ($recaptcha->success == true && $recaptcha->score >= 0.6) {
        // Recupero los valores del login
        $email = $_REQUEST['email'];
        $password = $_REQUEST['password'];
        // Guardo en la sesion el correo del usuario
        $_SESSION['userEmail'] = $email;

        // Compruebo login correcto
        if (PersonDAO::loginHash($email, $password)) {

            // Compruebo si el usuario esta inactivo
            $userDni = PersonDAO::getDni($email);
            if (PersonDAO::isActivePersonDni($userDni) == 0) {
                header('Location: ../View/usuario_inactivo.php');
            } else {
                // Guardo el dni en la sesion
                $_SESSION['userDni'] = $userDni;
                // Guardo el rol en la sesion
                $_SESSION['userRol'] = PersonDAO::getRol($userDni);
                header('Location: ../View/home.php');
            }
        } else {
            header('Location: ../View/login_incorrecto.php');
        }
    } else {
        // Captcha inválido
        $_SESSION['mensaje-captcha'] = 'Error al validar su identidad. ¿Es usted un robot?';

        // Envio a la página de inicio con mensaaje de error
        header('Location: ../index.php');
    }
}

// Método para realizar el login
    static function loginHash($email, $password) {
        // Abro la conexion
        GestionBDD::conectarBDD();

        // Variable para controlar el login correcto
        $correcto = false;

        // Preparo la sentencia SQL
        $query = 'SELECT email, password FROM ' . Constants::$PEOPLE . ' WHERE email = ?;';
        $stmt = GestionBDD::$conexion->prepare($query);
        $stmt->bind_param("s", $val1);

        // Valores de la sentencia
        $val1 = $email;

        // Ejecuto y guardo el resultado
        $stmt->execute();
        $stmt->bind_result($email, $passwordE);
        $row = $stmt->fetch();

        // Si hay resultados y es correcta la comprobación devuelvo true
        if (!empty($row)) {
            if (password_verify($password, $row['passwordE'])) {
                $correcto = true;
            }
        }

        // Cierro la sentencia y la consulta
        $stmt->close();
        GestionBDD::cerrarBDD();

        // Devuelvo si es o no correcto el login
        return $correcto;
    }
0

1 respuesta 1

4

En tu código hay varios problemas, vamos a verlos uno por uno:

  1. En el SELECT tu columna se llama password, no se llama passwordE, por tanto, esto es incorrecto:

     if (password_verify($password, $row['passwordE'])) {
    

    Es un despiste que tiene poca relevancia para este caso, pero debes considerar este tipo de errores tontos que te pueden hacer perder varios días.

  2. Aquí el problema grave es que el uso que haces de fetch() no es correcto. Según el Manual de PHP, fetch() no te devolvería un recurso con los datos como aparentemente intentas hacer aquí:

     $row = $stmt->fetch();
    

    El Manual es claro en este punto. Siempre que vayas a usar un método, revisa el apartado Valores devueltos y los ejemplos de código. Estas son las posibilidades de devolución de fetch(): TRUE, FALSE o NULL. Nunca un recurso en el cual poder encontrar datos haciendo algo como $row['columna']

    introducir la descripción de la imagen aquí

    Entonces, si estás bindeando los datos a variables:

    $stmt->bind_result($email, $passwordE);
    

    Significa que los datos estarán en esas variables cuando hagas el fetch() y en la comparación tendrías que usar la variable, algo así: if (password_verify($password, $passwordE)) {. Pero hay un poco de spaghetti en tu código y podemos optimizar un poco, si te interesa...

La función podría re-escribirse del siguiente modo (al final explico lo que se ha optimizado y por qué):

  static function loginHash($email, $password) {
    // Variable para controlar el login correcto
    $correcto = false;

    // Abro la conexion
    GestionBDD::conectarBDD();

    // Preparo la sentencia SQL
    $query = 'SELECT password FROM ' . Constants::$PEOPLE . ' WHERE email = ? LIMIT 1;';
    $stmt = GestionBDD::$conexion->prepare($query);
    $stmt->bind_param("s", $email);

    // Ejecuto y guardo el resultado
    $stmt->execute();
    $stmt->bind_result($passwordE);

    // Si hay resultados y es correcta la comprobación devuelvo true
    if ( $stmt->fetch() && password_verify($password, $passwordE) ) {
            $correcto = true;
    }

    // Cierro la sentencia y la consulta
    $stmt->close();
    GestionBDD::cerrarBDD();

    // Devuelvo si es o no correcto el login
    return $correcto;
}

Cosas que he optimizado:

  • SELECT solamente de password que es el dato que interesa obtenerse, ningún otro. Se agrega además LIMIT 1 a la instrucción, porque es una verificación.
  • Se hace bind_param() de $email, porque su única función aquí es ser criterio del WHERE, ese manejo innecesario de declarar $val1 no tiene ningún sentido más que crear código spaghetti.
  • Se hace bind_result() de $passwordE que es el dato que se ha indicado en el SELECT y único dato que se va a verificar.
  • La creación de $row no tiene sentido, por lo ya explicado en el punto 2. Tampoco tendría sentido una verificación con empty(). Aquí hemos hecho una doble verificación, de fetch() y de password_verify(), conforme al tipo de valor que ambas funciones devuelven. No hace falta liar tanto el código en este caso.

Así debería funcionar, si no hay otros problemas que escapan a este contexto. Doy por supuesto que:

a) Usaste password_hash al momento del INSERT;

b) Tu columna password tiene un tipo de dato/tamaño adecuado según el tipo de encriptado que has usado para el hash.

3
  • 1
    Excelente respuesta, como siempre por supuesto. Solo una pequeña duda que me surge, usas Constants::$PEOPLE, pero las constantes en php se suelen usar sin el símbolo $, no? Quiero decir, cuando defines algo como const TABLA_USUARIOS= "usuarios";, el $ no se usa, no? Disculpa mi pregunta, php no es mi fuerte.
    – Benito-B
    Commented el 21 nov. 2020 a las 23:58
  • 2
    Gracias @Benito-B, esa parte la dejé tal y como la tenía OP. Supongo que tiene una clase estatica Constants y dependiendo de su versión de PHP y lo que haya en esa clase, bien podría hacer algo como esto: Constants::PEOPLE. Ver esta nota del Manual y las explicaciones al respecto.
    – A. Cedano
    Commented el 22 nov. 2020 a las 0:04
  • 1
    @Benito-B rectifico mi comentario anterior. Puede que OP tenga una clase Constants con un miembro como este: public static $PEOPLE. De ese modo funciona tal y como esta ahora, pero quizá debería considerar un tipo de definición más conforme a la programación estandarizada en PHP. Por tanto, OP puede hacer así en la clase: const PEOPLE="elValor"; y obtenerlo así: Constants::PEOPLE. Tu observación no es banal, pues esta línea podría estar fallando en su código Constants::$PEOPLE si esa propiedad no está definida de un modo conforme a ese tipo de llamada en su clase Constants
    – A. Cedano
    Commented el 22 nov. 2020 a las 0:23

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.