2

Tengo un problema al intentar iniciar sesión en mi sitio web. Después de verificar la contraseña y establecer las cookies correctamente, intento redirigir al usuario a una página específica utilizando la función header('Location: tests.html'). Sin embargo, la redirección no funciona como se espera. Confirmé que la unica cookie que está establecidas correctamente es la de remember, y no sé por qué la de sesion no se establece correctamente. Al ingresar las credenciales, sean correctas o incorrectas, al apretar el boton "enviar", se recarga la página. Revisé mi código y no veo ningún error evidente. Este es mi codigo:

El usuario inicia registrándose con su nombre, apellido, entre otras cosas. Hasta acá no hay ningún problema. El codigo de registro es el siguiente (modificado para usar SHA-256):

<?php

$data = array(
    'secret' => "0xfD1439FB3aD6640b1Fb6cB821744E5D750f9B135",
    'response' => $_POST['h-captcha-response']
);
$verify = curl_init();
curl_setopt($verify, CURLOPT_URL, "https://hcaptcha.com/siteverify");
curl_setopt($verify, CURLOPT_POST, true);
curl_setopt($verify, CURLOPT_POSTFIELDS, http_build_query($data));
curl_setopt($verify, CURLOPT_RETURNTRANSFER, true);
$response = curl_exec($verify);
// var_dump($response);
$responseData = json_decode($response);
if ($responseData->success) {
    // Conexión a la base de datos
    $servername = "*********";
    $username = "*******";
    $db_password = "***.";
    $dbname = "***";
    $port = *;

    $conn = new mysqli($servername, $username, $db_password, $dbname, $port);

    // Comprobar la conexión
    if ($conn->connect_error) {
        error_log("Conexión fallida: " . $conn->connect_error);
        die("Conexión fallida: " . $conn->connect_error);
    }

    // Verificar si se recibieron los datos del formulario
    if ($_SERVER["REQUEST_METHOD"] === "POST") {
        // Obtener los valores del formulario
        $nombre = sanitizeInput($_POST["nombre"]);
        $apellido = sanitizeInput($_POST["apellido"]);
        $email = sanitizeEmail($_POST["email"]);
        $password = sanitizeInput($_POST["password"]);

        // Generar una sal aleatoria
        $salt = generateSalt();

        // Realizar el salting concatenando la contraseña con la sal
        $saltedPassword = $password . $salt;

        // Realizar key stretching mediante iteraciones
        $hashedPassword = hashPassword($saltedPassword);

        // Consulta de inserción
        $query = "INSERT INTO users (nombre, apellido, email, password, salt) VALUES (?,?,?,?,?)";
        $stmt = $conn->prepare($query);

        // Verificar si la preparación de la consulta tuvo éxito
        if ($stmt === false) {
            error_log("Error en la consulta: " . $conn->error);
            die("Error en la consulta: " . $conn->error);
        }

        // Asignar los valores a los parámetros de la consulta
        $stmt->bind_param("sssss", $nombre, $apellido, $email, $hashedPassword, $salt);

        // Ejecutar la consulta
        if ($stmt->execute()) {
            // Registro insertado correctamente
            $response = array(
                'success' => true,
                'message' => 'Registro insertado correctamente.'
            );

            // Establecer las cookies
            setcookie('remember', '1', time() + (10 * 24 * 60 * 60), '/', '');
            setcookie("sesion", true, time() + 1 * 24 * 60 * 60, "/", "");
            header('Location: tests.html');
        } else {
            // Error al insertar el registro
            $response = array(
                'success' => false,
                'message' => 'Error al insertar el registro: ' . $stmt->error
            );
        }

        // Cerrar la consulta
        $stmt->close();
    }

    // Cerrar la conexión
    $conn->close();



    
} else {
    $response = array(
        'success' => false,
        'message' => 'Error en el captcha'
    );
    
    echo json_encode($response);
    
}

function sanitizeInput($input)
{
    // Aplica la sanitización adecuada según tus necesidades
    $sanitizedInput = trim($input);
    $sanitizedInput = stripslashes($sanitizedInput);
    $sanitizedInput = htmlspecialchars($sanitizedInput);
    return $sanitizedInput;
}

function sanitizeEmail($email)
{
    // Sanitiza el correo electrónico utilizando el filtro de correo electrónico de PHP
    $sanitizedEmail = filter_var($email, FILTER_SANITIZE_EMAIL);
    return $sanitizedEmail;
}

function generateSalt()
{
    // Genera una sal aleatoria utilizando una función criptográficamente segura
    $salt = random_bytes(16);
    $salt = bin2hex($salt);
    return $salt;
}

function hashPassword($password)
{
    // Realiza el key stretching mediante iteraciones para aumentar la seguridad
    $iterations = 10000; // Puedes ajustar este valor según tus necesidades
    $hashedPassword = $password;
    
    for ($i = 0; $i < $iterations; $i++) {
        $hashedPassword = hash('sha256', $hashedPassword);
    }
    
    return $hashedPassword;
}
?>

El problema surge en este momento, cuando uno inicia sesión. No importa lo que ingreses, se recarga la página, la cookie de session no se agrega y no inicia sesion. Login.php:

    <?php
session_start();

// Conexión a la base de datos
$servername = "****";
$username = "****";
$db_password = "***.";
$dbname = "u**";

$conn = new mysqli($servername, $username, $db_password, $dbname);

// Comprobar la conexión
if ($conn->connect_error) {
    error_log("Conexión fallida: " . $conn->connect_error);
    die("Conexión fallida: " . $conn->connect_error);
}

// Recibir datos del formulario
$email = strtoupper($_POST["email"]);
$password = $_POST["password"];
if (isset($_POST['remember']) && $_POST['remember'] == 'on') {
    // Establece la cookie "remember" con un tiempo de expiración, por ejemplo, 10 días
    setcookie('remember', '1', time() + (10 * 24 * 60 * 60), '/', '');
}

$_SESSION["email"] = $email;

// Preparar la consulta SQL utilizando sentencias preparadas
$sql = "SELECT password, salt FROM users WHERE email=?";
$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $email);
$stmt->execute();
$result = $stmt->get_result();

if ($result->num_rows > 0) {
    $row = $result->fetch_assoc();
    $user_password = $row["password"];
    $salt = $row["salt"];

    // Realizar el salting concatenando la contraseña proporcionada con la sal almacenada en la base de datos
    $saltedPassword = $password . $salt;

    // Realizar key stretching mediante iteraciones para verificar la contraseña
    $hashedPassword = hashPassword($saltedPassword);

    // Verificar la contraseña proporcionada
    if ($hashedPassword === $user_password) {
        // La contraseña es correcta, permite el acceso del usuario
        $_SESSION['email'] = $email;
        setcookie("sesion", true, time() + 1 * 24 * 60 * 60, '/', '');
        header('Content-Type: application/json');
        echo json_encode(array('success' => true, 'message' => 'Inicio de sesión exitoso'));
    } else {
        error_log("Acceso denegado");
        header('Content-Type: application/json');
        echo json_encode(array('success' => false, 'message' => 'Acceso denegado'));
    }
} else {
    error_log("Usuario no encontrado");
    header('Content-Type: application/json');
    echo json_encode(array('success' => false, 'message' => 'Usuario no encontrado'));
}

$stmt->close();
$conn->close();

function hashPassword($password)
{
    // Realiza el key stretching mediante iteraciones para aumentar la seguridad
    $iterations = 10000; // Puedes ajustar este valor según tus necesidades
    $hashedPassword = $password;
    
    for ($i = 0; $i < $iterations; $i++) {
        $hashedPassword = hash('sha256', $hashedPassword);
    }
    
    return $hashedPassword;
}
?>

HTML

// Obtener una referencia al formulario y al botón de enviar
        var form = document.getElementById('loginForm');
        var submitButton = document.getElementById('btnSubmit');

        // Agregar un controlador de eventos al botón de enviar
        submitButton.addEventListener('click', function (event) {
            event.preventDefault(); // Evitar que el formulario se envíe de forma tradicional

            // Crear una instancia de XMLHttpRequest
            var xhr = new XMLHttpRequest();

            // Configurar la solicitud
            xhr.open('POST', 'login.php', true);

            // Configurar el encabezado de la solicitud si es necesario
            xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');

            // Obtener los datos del formulario
            var formData = new FormData(form);

            // Realizar la solicitud AJAX
            xhr.onreadystatechange = function () {
                if (xhr.readyState === XMLHttpRequest.DONE) {
                    if (xhr.status === 200) {
                        // La solicitud se completó exitosamente
                        var response = JSON.parse(xhr.responseText);
                        if (response.success) {
                            // Mostrar mensaje de éxito
                            alert(response.message);
                            // Redirigir al usuario a una página específica
                            window.location.href = 'www.tests.allesconsultores.com.ar/tests.html';
                        } else {
                            // Mostrar mensaje de error
                            alert(response.message);
                        }
                    } else {
                        // Hubo un error en la solicitud
                        console.error('Error:', xhr.status);
                    }
                }
            };

            // Enviar la solicitud con los datos del formulario
            xhr.send(new URLSearchParams(formData));
        });
13
  • diría que el header lo recibe como respuesta del ajax junto a un responseText vacio y por eso el if response.success nunca se da el 13 jun. a las 20:37
  • Y entonces cómo se corregiría? el 13 jun. a las 20:42
  • 4
    en vez de hacer un header redirect por php, seteas cookies y devolves el success=true javascript haría el redirect con el href el 13 jun. a las 21:08
  • 2
    Coincido con @aloMalbarez. Cuando haces peticiones con Ajax o Fetch, el cliente espera una respuesta, si rediriges desde el servidor, dejas al cliente plantado, esperando la respuesta que nunca llega y tu código termina siendo incoherente. Dicho eso, ¿no usas password_hash y password_verify para trabajar con tus contraseñas?
    – A. Cedano
    el 13 jun. a las 22:53
  • Incluso cuando hago la modificación, sigue ocurriendo lo mismo el 13 jun. a las 23:13

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.