0

Poseo un sistema de logueo donde quiero agregar el HASH de contraseñas ya tengo la opcion de crear y insertar el hash generado a la base de datos, pero ahora no se como debo verificar si la contraseña es correcta, hago un select? o utilizo password_verify?

    <?php
session_start();

//Verifico que CONECTAR tenga un valor, esto para validar que este activo javascript//

$conectar = 1;

if ($conectar == 1) {
    include '__conexion.php';
    include_once 'funciones/passwordLib.php';

    $usuario = $_POST['txtusuario'];

    echo "usuario: ".$usuario."<br>";

    $contrasena_t =$_POST['txtcontrasena'];

    echo "contrasena: ".$contrasena_t."<br>";

    $hash=password_hash($contrasena_t);

    echo "Hash: ".$hash."<br>";

    $sql = ("SELECT contrasena FROM usuarios WHERE usuario=?");
            $stmt  = $conexion->prepare($sql);
            $stmt ->bind_param('s', $usuario);
            $stmt ->execute();
            $stmt ->bind_result($contraseña_bd);
            $stmt ->fetch();
            $num= $stmt->num_rows;
            echo "numero de fregist".$num."<br>";
            echo "Contraseña de la bd con ese usuario".$contraseña_bd."<br>";
            if ($stmt->num_rows === 0) {
                // MENSAJE DE ACCESO NEGADO //
                /*echo ('<script>alert("Usuario o Contraseña incorrecto, vuelva a ingresar");</script>');
                echo ("<script>window.location = 'index.php';</script>");
                exit;*/
                // ------------------------ //
                echo "No hay contraseña para ese usuario"."<br>";
            }else if(password_verify($contrasena_t, $contraseña_bd)){ //contraseña post y hash//
                echo "Contraseñas iguales";
                $stmt = $conexion->prepare("SELECT nivel_id,unidad_id from usuarios WHERE usuario=? AND contrasena=?");
                $stmt->bind_param('ss', $usuario, $contrasena_t);
                $stmt->execute();
                $stmt->store_result();
                $stmt->bind_result($nivel_id,$unidad_id);
                while ($stmt->fetch()) {
                }
                $_SESSION['nivel'] = $nivel_id;
                $_SESSION['conectado'] = true; //esta conectado//
                $_SESSION['usuario'] = $usuario;
                $_SESSION['unidad'] = $unidad_id;
                $_SESSION['inicio'] = time();
                $_SESSION['expira'] = $_SESSION['inicio'] + (10 * 60); //TIEMPO DE SESIÓN//
                if ($nivel_id == 0) {
                // MENSAJE DE BIENVENIDA //
                /*echo ('<script>alert("Bienvenido al Sistema Automatizado de OMD");</script>');
                echo ("<script>window.location = 'menu_unidades.php';</script>");*/
                // --------------------- //
                }
                elseif ($nivel_id == 1) {
                // MENSAJE DE BIENVENIDA //
            /*  echo ('<script>alert("Bienvenido al Sistema Automatizado de OMD");</script>');
                echo ("<script>window.location = 'menu_administradores.php';</script>");*/
                // --------------------- //
                }
            }
        }else
        {
            echo "contraseñas desiguales";
            /*echo ('<script>alert("No tiene permisos suficientes para acceder a esta parte del sistema");</script>');
            echo ("<script>window.location = 'index.php';</script>");*/
        }

?>

1 respuesta 1

1

Para verificar tu Hash, debes selecionar tu Hash desde tu Base de datos y lo comparas con la contraseña introducido por el usuario.

Ejemplo:

<?php

    //Contraseña Hash, obtenido desde tu Base datos.
    $contrasena_BD = $2y$07$BCryptRequires22Chrcte/VlQH0piJtjXl.0t1XkA8pw9dMXTpOq';

    if (password_verify($_POST['txtcontrasena'], $contrasena_BD)) {
        echo '¡La contraseña es válida!';
    } else {
        echo 'La contraseña no es válida.';
    }
?>

Manual password_verify

Ejemplo con tu código optimizado:

<?php

if ($conectar == 1) {

    include '__conexion.php';
    include_once 'funciones/passwordLib.php';

    //Datos formulario
    $usuario = $_POST['txtusuario'] ?: '';
    $contrasena = $_POST['txtcontrasena'] ?: '';

    //Sentencia.
    $statement = $conexion->prepare("SELECT contrasena,nivel_id,unidad_id FROM usuarios WHERE usuario=? LIMIT 1");
    $statement->bind_param('s', $usuario);
    $statement->execute();
    $statement->store_result();
    if ($statement->num_rows === 0) {

        $statement->close();//Cerramos sentencia.

        // MENSAJE DE ACCESO NEGADO //
        echo ('<script>alert("Usuario o Contraseña incorrecto, vuelva a ingresar");</script>');
        echo ("<script>window.location = 'index.php';</script>");
        exit;

    } else { #verdadero comparación.

        //Obtenemos resultados desde Base de datos.
        $statement->bind_result($contrasena_BD,$nivel_id,$unidad_id);
        while ($statement->fetch()) {

            if (password_verify($_POST['txtcontrasena'], $contrasena_BD)) {

                $_SESSION['nivel'] = $nivel_id;
                $_SESSION['conectado'] = true; //esta conectado//
                $_SESSION['usuario'] = $usuario;
                $_SESSION['unidad'] = $unidad_id;
                $_SESSION['inicio'] = time();
                $_SESSION['expira'] = $_SESSION['inicio'] + (10 * 60); //TIEMPO DE SESIÓN//

                if ($nivel_id == 0) {
                    // MENSAJE DE BIENVENIDA //
                    echo ('<script>alert("Bienvenido al Sistema Automatizado de OMD");</script>');
                    echo ("<script>window.location = 'menu_unidades.php';</script>");

                } elseif ($nivel_id == 1) {
                    // MENSAJE DE BIENVENIDA //
                    echo ('<script>alert("Bienvenido al Sistema Automatizado de OMD");</script>');
                    echo ("<script>window.location = 'menu_administradores.php';</script>");
                }


            } else { //Contraseña no coincide.
                // MENSAJE DE ACCESO NEGADO //
                echo ('<script>alert("Usuario o Contraseña incorrecto, vuelva a ingresar");</script>');
                echo ("<script>window.location = 'index.php';</script>");
            }


        } $statement->close();//Cerramos sentencia.
    } 
} else {       
    echo ('<script>alert("No tiene permisos suficientes para acceder a esta parte del sistema");</script>');
    echo ("<script>window.location = 'index.php';</script>");
}

?>

Nota: PASSWORD_DEFAULT (integer)

El algoritmo que se utilizará por defecto si no se especifica otro distinto. Esto puede cambiar en versiones futuras de PHP, cuando métodos más nuevos y fuertes de hashing estén disponibles.

Cabe señalar que con el tiempo esta constante puede (y probablemente lo hará) cambiar. Por tanto, se debería considerar que la longitud del hash resultante puede cambiar. Así, si se emplea PASSWORD_DEFAULT se debería almacenar el hash resultante de forma que se pueda almacenar más de 60 caracteres (255 es el ancho recomendado).

Manual constantes predefinidas

14
  • actualize mi pregunta,porque tengo un select que obtiene la contraseña del usuario que se ingreso, y esta devuelve la contraseña que esta en base de datos, para compararla con el hash de la que ingreso, pero me dice que hay "0 cero" registros y sin embargo me da la contraseña?, que puede ocurrir. Dice "no hay registros" y me da la contraseña
    – Dev 200
    Commented el 20 mar. 2017 a las 19:06
  • @VictorA. Voy a modificar mi ejemplo con tu código, ya que podrías mejorarlo y optimizarlo, dame un poco de tiempo y la actualizo.
    – D.Bulten
    Commented el 20 mar. 2017 a las 19:10
  • excelente, por cierto los hash cambian? porque estoy tratando de convertir algunos registros viejos con texto plano (formule otra pregunta es.stackoverflow.com/questions/56660/…) y creo que cambian
    – Dev 200
    Commented el 20 mar. 2017 a las 19:13
  • 1
    Sí cambian. El algoritmo de hasheo MCRYPT que actualmente usa password_hash no es determinístico.
    – ffflabs
    Commented el 20 mar. 2017 a las 19:24
  • @VictorA. Ya te he actualizado mí ejemplo, cómo te ha mencionado el compañero, si cambian. Cabe señalar que con el tiempo esta constante puede (y probablemente lo hará) cambiar. Por tanto, se debería considerar que la longitud del hash resultante puede cambiar. php.net/manual/es/password.constants.php
    – D.Bulten
    Commented el 20 mar. 2017 a las 19:41

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.