0

Estoy iniciando con PHP y tengo un problema con la función Password_Verify. Les explico: Al utilizar esta función, no me retorna TRUE aún cuando en teoría los datos obtenidos son "correctos". Les muestro el código y les explico al mismo tiempo:

Controlador Login

    function validarUsuario()
{
    $usuario = isset($_POST['usuario']) ? $_POST['usuario'] : null;
    $password = isset($_POST['password']) ? $_POST['password'] : null;

    $login = new Login();
    $passwordbd = $this->model->login($usuario);
    error_log('Login::Controller -> ValidarUsuario() -> Password recibida: ' . $password); //imprimo en el log la contraseña que el usuario ingresó (desencriptada)
    error_log('Login::Controller -> ValidarUsuario() -> PasswordBD recibida: ' . $passwordbd); //imprimo en el log la contraseña obtenida de la base de datos dependiendo del usuario ingresado
    if (password_verify($password, $passwordbd)) { //Hago la comparación de las contraseñas, según los parámetros establecidos de la función
        error_log('Login::Controller -> Password_verify -> contraseñas coinciden'); //Si las contraseñas coinciden, envío un mensaje de éxito
        $mensaje = "Inicio de sesión correcto";
        $tipoMensaje = "alert alert-success";
    } else {
        error_log('Login::Controller -> Password_verify -> contraseñas NO coinciden'); //si las contraseñas no coinciden, envío un mensaje de error
        $mensaje = "Error en el inicio de sesión";
        $tipoMensaje = "alert alert-danger";
    }
    $this->view->mensaje = $mensaje; 
    $this->view->tipoMensaje = $tipoMensaje;
    $this->render();
}

Modelo Login

   function login($usuario)
{
    try {
        $query = $this->prepare('SELECT * FROM usuarios WHERE usuario = :usuario'); 
        $query->execute([
            'usuario' => $usuario
            ]);
        if($query->rowCount() == 1){ //Si la consulta es exitosa, obtengo el registro del campo "password" y lo guardo en la variable $passwordbd
            $resultado = $query->fetch(PDO::FETCH_ASSOC);
            if(isset($resultado['password'])){
                $passwordbd = $resultado['password'];
            }
            error_log('LoginModel::Success -> Valores recibidos');
        }else{
            error_log('LoginModel::Error -> Valores no encontrados');
        }
        error_log('LoginModel::Success-> Password: '.$resultado['password']); //Imprimo la contraseña obtenida de la base de datos (encriptada por password_hash)
        return $passwordbd; //retorno el valor de la contraseña obtenida
    } catch (PDOException $e) {
        error_log('LoginModel::Error->PDOException: '.$e);
        return $e->getMessage();
    }
}

Ahora bien, los error_log los he puesto para poder saber qué está pasando y mostrar las contraseñas obtenidas por el usuario y por la base de datos. Entonces, en este caso podemos observar que la contraseña del usuario "luis" es luis, que cifrada con password_hash obtuve $2y$10$lE2G/LBuWnK7JaQQV4.3ZuTs/7uXioXUC404KlXuWRH** Usuario y contraseña de luis

Y en el error log me muestra exactamente lo mismo: contraseñas obtenidas y mostradas en el log

Entonces, si los resultados se supone son correctos, ¿Por qué no me retorna nada? ¿Estoy aplicando mal la funcion? Agradecería mucho su retroalimentación y también que me mostraran los errores que tengo. Muchas gracias

*Edit: La forma en que cifré los datos ha sido la siguiente:

Controlador

function registrarTutor()
{
    $nombre = isset($_POST['nombre']) ? $_POST['nombre'] : null;
    $usuario = isset($_POST['usuario']) ? $_POST['usuario'] : null;
    $password = isset($_POST['password']) ? $_POST['password'] : null;

    $pass_cifrada = password_hash($password, PASSWORD_DEFAULT);
    
    if(!$nombre || !$usuario || !$password){
        $mensaje = "No puedes dejar este campo vacío";
        $tipoMensaje = "alert alert-danger";
    }else{
        if ($this->model->insertar([
            'nombre' => $nombre,
            'usuario' => $usuario,
            'password' => $pass_cifrada,
        ])) {
            $mensaje = "Usuario agregado con éxito";
            $tipoMensaje = "alert alert-success";
        } else {
            $mensaje = "¡Error! Algo salió mal :(";
            $tipoMensaje = "alert alert-danger";
        }
    }
    $this->view->mensaje = $mensaje;
    $this->view->tipoMensaje = $tipoMensaje;
    $this->render();
}

Modelo

public function insertar($datos)
{
    try {
        $query = $this->prepare('INSERT INTO usuarios(nombre,usuario,password,rol,condicion) VALUES (:nombre,:usuario,:password,"admin","1");');
        $query->execute([
            'nombre'   => $datos['nombre'],
            'usuario'  => $datos['usuario'],
            'password' => $datos['password'],
        ]);
        return true;
    } catch (PDOException $e) {
        return false;
    }
}
5
  • ¿Podrías añadir la línea donde creas el password_hash de las contraseñas de los que guardas en la Base de Datos? Así a simple visto no veo el motivo de tu error, ya que debes pasar la contraseña original y compararlo con la cifrada en la BD en la función password_verify y es lo que estás haciendo, si haces un var_dump($_POST); que te muestra en pantalla? Te dejo también este enlace, quizás te puede ayudar: es.stackoverflow.com/questions/33420/…
    – D.Bulten
    Commented el 12 abr. 2021 a las 0:29
  • @Diablo, ya añadí lo faltante, muchas gracias por tu observación. Con respecto al var_dump, lo que me imprime directo del post es la contraseña sin cifrar, que en este caso es "luis", el mismo nombre que el usuario, en cambio, si cambio por la variable que se supone guarda la contraseña, no me imprime nada, lo curioso es que en el error_log me la muestra correctamente (como se ve en la imagen) Commented el 12 abr. 2021 a las 0:48
  • Para comprobar que estas obteniendo la contraseña desde la BD correctamente, deberías hacer echo $passwordbd; y no var_dump() ya que realmente es una cadena lo que obtienes.
    – D.Bulten
    Commented el 12 abr. 2021 a las 0:58
  • Yo personalmente uso PASSWORD_BCRYPT ya que si usas PASSWORD_DEFAULT tienes tener en cuenta lo siguiente lo que te dice el manuel: Observe que esta constante está diseñada para cambiar siempre que se añada un algoritmo nuevo y más fuerte a PHP. Por esta razón, la longitud del resultado de usar este identificador puede cambiar con el tiempo. Por lo tanto, se recomienda almacenar el resultado en una columna de una base de datos que pueda apliarse a más de 60 caracteres (255 caracteres sería una buena elección). Así que fíjate también que tu columna de tu BD permita más caracteres.
    – D.Bulten
    Commented el 12 abr. 2021 a las 1:03
  • @Diablo éso era! perfecto! Muchísimas gracias!!! No puedo elegir tu comentario como respuesta correcta pero, ése era mi error, ya veo, te agradezco muchísimo en serio ! Commented el 12 abr. 2021 a las 1:32

2 respuestas 2

0

Si nos fijamos en el manual si se usa el algoritmo PASSWORD_DEFAULT este podría crear una cadena de más de 60 caracteres, para ello sería bueno tener 255 caracteres permitidos en nuestra columna en la Base de Datos que va guardar esta información, si la columna no cumpla con este requisito no va coincidir tu contraseña al usarse password_verify, ya que no te ha guardado correctamente tu contraseña haseada en tu Base de Datos.

password_hash() crea un nuevo hash de contraseña usando un algoritmo de hash fuerte de único sentido. password_hash() es compatible con crypt(). Por lo tanto, los hash de contraseñas creados con crypt() se pueden usar con password_hash().

Actualmente se admiten los siguientes algoritmos:

  • PASSWORD_DEFAULT - Usar el algoritmo bcrypt (predeterminado a partir de PHP 5.5.0). Observe que esta constante está diseñada para cambiar siempre que se añada un algoritmo nuevo y más fuerte a PHP. Por esta razón, la longitud del resultado de usar este identificador puede cambiar con el tiempo. Por lo tanto, se recomienda almacenar el resultado en una columna de una base de datos que pueda ampliarse a más de 60 caracteres (255 caracteres sería una buena elección).
  • PASSWORD_BCRYPT - Usar el algoritmo CRYPT_BLOWFISH para crear el hash. Producirá un hash estándar compatible con crypt() utilizando el identificador "$2y$". El resultado siempre será un string de 60 caracteres, o false en caso de error.

Manual: password_hash

3
  • amigo, el sistema de login que bloquea la ip y, el usuario, cuando envió datos vacíos sin ingresar nada o al ingresar datos que no existen, me registra como que el usuario con el id 1, esta ingresando cuando no debe ser así.
    – J. Mick
    Commented el 12 abr. 2021 a las 1:54
  • es.stackoverflow.com/questions/105066/…
    – J. Mick
    Commented el 12 abr. 2021 a las 1:57
  • @J.Mick hola amigo, cuanto tiempo, déjame el enlace de SOes si la tienes y cuando tenga tiempo lo reviso, a ver si te puedo ayudar con el fallo. Aunque ese mismo ejemplo lo tengo en localhost y a mí personalmente no me da errores, de todas formas déjame revisarlo mañana que es tarde aquí XD.
    – D.Bulten
    Commented el 12 abr. 2021 a las 2:03
0

En los comentarios me han ayudado con la solución, al parecer era demasiado simple pero no había tomado en cuenta éso que me comentó, el aumentar el nivel de caracteres permitidos en la base de datos. Muchisimas gracias Diablo por la solución.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.