0

Le aplico un password_hash() a la contraseña de los usuarios al registrarlos, pero no logro hacer la validación.

Lo hasheo así en mi, registrar_usuario.php [Funciona]

$cifrado=password_hash($pass, PASSWORD_DEFAULT,array("cost" => 4));

Mi validad esta así:

<?php
session_start();
require_once "conexion.php";

$conexion = conexion();

$correo = mysqli_real_escape_string($conexion, $_POST['correo']);
$hash = password_hash($_POST['password'], PASSWORD_DEFAULT,array("cost" => 4));
$password = mysqli_real_escape_string($conexion, $hash);

$consulta = "SELECT * FROM usuario WHERE Correo='$correo' AND Pass='$password'";
        
$resultado = mysqli_query($conexion, $consulta);
$registro = mysqli_fetch_assoc($resultado);

if (empty($registro) === false) 
{
    header("Location: ". ($_POST["retorno"] ?? "../index.php")); 
    $_SESSION['correo'] = $registro["Correo"];
    exit(0);
} ?>

  <script>
   alert("Usuario o Password Incorrecto");
   destino = new URL("../Vista/Ingreso.php", location);
   destino.searchParams.append("retorno",<?= json_encode($_POST["retorno"] ?? "") ?>);
   location.href = destino.href;
  </script>

Error:

introducir la descripción de la imagen aquí

No tengo claro que estoy haciendo mal. Gracias.

2
  • 1
    Estás poniendo una alerta dentro de el script, sin funciones y sin nada, por lo que intuyo que lo pongas bien o lo pongas mal está accediendo a esta parte del código. Te recomiendo utilizar funciones y llamarlas según el resultado de la consulta.
    – Maida
    Commented el 2 mar. 2022 a las 8:41
  • 1
    ¿Responde esto a tu pregunta? problemas con password verify
    – Alfabravo
    Commented el 2 mar. 2022 a las 14:42

1 respuesta 1

0

El problema principal en tu código es que estás usando password_hash para verificar, lo cual es incorrecto, porque dicha función se usa a la hora de guardar los datos, mientras que a la hora de verificar debes usar password_verify() (revisa el Manual de PHP para más detalles al respecto).

Por otra parte, tu código es altamente vulnerable a ataques de inyección SQL, convendría que uses consultas preparadas, en cuyo caso no necesitarás escapar los datos... en algunos casos he leído que escapar podría causar problemas al momento de comparar datos encriptados.

Aplicando lo dicho, tu código debería funcionar de este modo:

<?php
session_start();
$correo = $_POST['correo'] ?? null;
$password = $_POST['password'] ?? null;
if ($correo && $password) {
  require_once "conexion.php";
  $conexion = conexion();
  if ($conexion) {
    $sql = "SELECT Pass FROM usuario WHERE Correo=? AND Pass=?";
    $stmt = $conexion->prepare($sql);
    $stmt->bind_param("ss", $correo, $password);
    $stmt->execute();
    $stmt->bind_result($passwordE);
    /*
    Aquí es donde comparas la clave proporcionada
    con el hash que ha sido guardado
    */
    if ( $stmt->fetch() && password_verify($password, $passwordE) ) {
      /*
      Dentro de este bloque el password habrá sido verificado 
      y puedes hacer lo que necesites en este caso ...
      La lógica de tu programa es confusa, 
      no se entiende muy bien que es lo que pretendes verificar 
      en esta comparación if (empty($registro) === false) 
      ... en fin, acopla el código a tu lógica como te convenga 
      */
      $outPut="Password OK";
    } else {
      /*
      Aquí la clave no se habrá verificado ... 
      haz lo que haya que hacer en este caso 
      */
      $outPut="Password o email incorrectos";
    }
    
  } else {
    $outPut="No hay conexión";
  }
} else {
  $outPut="Faltan datos en el POST";
}
/*
  Esto es a modo de depuración ...
  una vez verificado el código, 
  aplica las redirecciones según lo que necesites 
  como comenté más arriba, tu lógica de redirecciones 
  es algo confusa ...
  */
echo $outPut;
?>

Esto debería resolver tu problema, aplicando además un código controlado, limpio y seguro. Si no entiendes algo, pregunta en comentarios.

1
  • Una duda, que se esta guardando en el PasswordE, en la linea: $stmt->bind_result($passwordE); No entiendo como funciona esa parte. Commented el 3 mar. 2022 a las 5:06

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.