0

Estoy empezando con un pequeño control de usuarios, solamente dar acceso (para empezar), y me surge la duda de la encriptación de los pass. Podría meter en la tabla de usuarios ya el pass encriptado (ahora no haría registro de usuarios), no se por ejemplo con sha512 ? después solamente tendría que desencriptarlo, e incluso podría meter una salt, no? Tengo hecho esto:

session_start();
    include_once 'conexion.php';
    $conexion = new Conexion();
    $cnn = $conexion->getConexion();
    
    $usuario = $_POST['usuario'];
    $password = $_POST['pass'];
    
    $statement = $cnn->prepare('select * from usuarios where username = ? and password = ?;');
    
    $statement->execute([$usuario, $password]);
    
    $datos = $statement->fetch(PDO::FETCH_OBJ);
    
    if($datos === FALSE){
        header('Location: salir.php');
    }elseif($statement->rowCount() == 1){
        
        $_SESSION['nombre'] = $datos->username;
        $_SESSION['controlUser'] = $datos->id_role;
        
        header('Location: mipagina.php');
    }

    function verificar(){
        session_start();
        if(($_SESSION['nombre']) && ($_SESSION['controlUser'])){
            return true;
        }
    }
2
  • Cual es la pregunta?
    – Aleman
    Commented el 22 oct. 2021 a las 12:12
  • 1
    Cuando usas una función de picadillo (HASH) no hay modo de descifrar el mensaje original. La única manera de comprobar que la contraseña es válida sería haciendo picadillo también la contraseña proporcionada y comprobando que ambos picadillos son los mismos. La sal es indispensable, ya que existen multitud de tablas arcoiris muy completas para prácticamente todos los algoritmos de picadillo existentes. Por último, te recomiendo que delegues el trabajo a password_hash() como te recomiendan en la respuesta. Commented el 22 oct. 2021 a las 13:04

1 respuesta 1

0

Al momento de registrar a un usuario es donde debes crear su Usuario y Password.

Al momento de crear el password, es cuando haces el hash, y puedes directamente crearlo usando el método password_hash().

    $sql = "INSERT INTO tablaUsuarios (usuario, password) VALUES (?, ?)";

    if ($stmt = mysqli_prepare($conexion, $sql)) {
        mysqli_stmt_bind_param($stmt, "ss", $param_username, $param_password);

        $param_username = $username;
        $param_password = password_hash($password, PASSWORD_DEFAULT);

        if (mysqli_stmt_execute($stmt)) {
            header("location: miPagina.php");
        } else {
            echo "Algo salió mal, por favor inténtalo de nuevo.";
        }
    }

Luego al momento de realizar el login, es cuando usas password_verify.
Este por si solo realizará la comprobación de las contraseñas.

    $sql = "SELECT id, usuario, password FROM tablaUsuarios WHERE usuario = ?";

    if ($stmt = mysqli_prepare($conexion, $sql)) {
        mysqli_stmt_bind_param($stmt, "s", $param_username);

        $param_username = $username;

        if (mysqli_stmt_execute($stmt)) {
            mysqli_stmt_store_result($stmt);

            if (mysqli_stmt_num_rows($stmt) == 1) {
                mysqli_stmt_bind_result($stmt, $id, $username, $hashed_password);
                if (mysqli_stmt_fetch($stmt)) {
                    if (password_verify($password, $hashed_password)) {
                        session_start();

                        $_SESSION["id"] = $id;
                        $_SESSION["username"] = $username;

                        header("location: dashboard.php");
                    } else {
                        $password_err = "La contraseña que has ingresado no es válida.";
                    }
                }
            } else {
                $username_err = "No existe cuenta registrada con ese nombre de usuario.";
            }
        } else {
            echo "Algo salió mal, por favor vuelve a intentarlo.";
        }
    }
    mysqli_stmt_close($stmt);
5
  • El tema es que estoy metiendo directamente en el pgadmin el usuario y el pass, con lo que no estoy haciendo insert en la tabla. Había pensado en hacer el encriptado y en el código ver si son iguales comparando los strings, no se.
    – Esti19
    Commented el 22 oct. 2021 a las 15:00
  • Por eso, con el password_hash haces el encriptado, y el password_verify lo verifica.
    – Excorpion
    Commented el 22 oct. 2021 a las 15:02
  • Si @Excorpion eso lo entendí, pero me obligará a crear una página desde donde meta los usuarios. Así no puedo comprobar los que ya existen.
    – Esti19
    Commented el 22 oct. 2021 a las 15:20
  • Espera, no tienes una donde creas los usuarios ?? Como los agregas entonces ?
    – Excorpion
    Commented el 22 oct. 2021 a las 15:20
  • El ejercicio consistiría en permitir de momento, solamente el acceso, sin registro. Lo que hago es meter yo manualmente directamente en la tabla desde el pgadmin los usuarios y asignarles yo el password.
    – Esti19
    Commented el 22 oct. 2021 a las 15:38

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.