Tengo un problema al intentar iniciar sesión en mi sitio web. Después de verificar la contraseña y establecer las cookies correctamente, intento redirigir al usuario a una página específica utilizando la función header('Location: tests.html'). Sin embargo, la redirección no funciona como se espera. Confirmé que la unica cookie que está establecidas correctamente es la de remember, y no sé por qué la de sesion no se establece correctamente. Al ingresar las credenciales, sean correctas o incorrectas, al apretar el boton "enviar", se recarga la página. Revisé mi código y no veo ningún error evidente. Este es mi codigo:
El usuario inicia registrándose con su nombre, apellido, entre otras cosas. Hasta acá no hay ningún problema. El codigo de registro es el siguiente (modificado para usar SHA-256):
<?php
$data = array(
'secret' => "0xfD1439FB3aD6640b1Fb6cB821744E5D750f9B135",
'response' => $_POST['h-captcha-response']
);
$verify = curl_init();
curl_setopt($verify, CURLOPT_URL, "https://hcaptcha.com/siteverify");
curl_setopt($verify, CURLOPT_POST, true);
curl_setopt($verify, CURLOPT_POSTFIELDS, http_build_query($data));
curl_setopt($verify, CURLOPT_RETURNTRANSFER, true);
$response = curl_exec($verify);
// var_dump($response);
$responseData = json_decode($response);
if ($responseData->success) {
// Conexión a la base de datos
$servername = "*********";
$username = "*******";
$db_password = "***.";
$dbname = "***";
$port = *;
$conn = new mysqli($servername, $username, $db_password, $dbname, $port);
// Comprobar la conexión
if ($conn->connect_error) {
error_log("Conexión fallida: " . $conn->connect_error);
die("Conexión fallida: " . $conn->connect_error);
}
// Verificar si se recibieron los datos del formulario
if ($_SERVER["REQUEST_METHOD"] === "POST") {
// Obtener los valores del formulario
$nombre = sanitizeInput($_POST["nombre"]);
$apellido = sanitizeInput($_POST["apellido"]);
$email = sanitizeEmail($_POST["email"]);
$password = sanitizeInput($_POST["password"]);
// Generar una sal aleatoria
$salt = generateSalt();
// Realizar el salting concatenando la contraseña con la sal
$saltedPassword = $password . $salt;
// Realizar key stretching mediante iteraciones
$hashedPassword = hashPassword($saltedPassword);
// Consulta de inserción
$query = "INSERT INTO users (nombre, apellido, email, password, salt) VALUES (?,?,?,?,?)";
$stmt = $conn->prepare($query);
// Verificar si la preparación de la consulta tuvo éxito
if ($stmt === false) {
error_log("Error en la consulta: " . $conn->error);
die("Error en la consulta: " . $conn->error);
}
// Asignar los valores a los parámetros de la consulta
$stmt->bind_param("sssss", $nombre, $apellido, $email, $hashedPassword, $salt);
// Ejecutar la consulta
if ($stmt->execute()) {
// Registro insertado correctamente
$response = array(
'success' => true,
'message' => 'Registro insertado correctamente.'
);
// Establecer las cookies
setcookie('remember', '1', time() + (10 * 24 * 60 * 60), '/', '');
setcookie("sesion", true, time() + 1 * 24 * 60 * 60, "/", "");
header('Location: tests.html');
} else {
// Error al insertar el registro
$response = array(
'success' => false,
'message' => 'Error al insertar el registro: ' . $stmt->error
);
}
// Cerrar la consulta
$stmt->close();
}
// Cerrar la conexión
$conn->close();
} else {
$response = array(
'success' => false,
'message' => 'Error en el captcha'
);
echo json_encode($response);
}
function sanitizeInput($input)
{
// Aplica la sanitización adecuada según tus necesidades
$sanitizedInput = trim($input);
$sanitizedInput = stripslashes($sanitizedInput);
$sanitizedInput = htmlspecialchars($sanitizedInput);
return $sanitizedInput;
}
function sanitizeEmail($email)
{
// Sanitiza el correo electrónico utilizando el filtro de correo electrónico de PHP
$sanitizedEmail = filter_var($email, FILTER_SANITIZE_EMAIL);
return $sanitizedEmail;
}
function generateSalt()
{
// Genera una sal aleatoria utilizando una función criptográficamente segura
$salt = random_bytes(16);
$salt = bin2hex($salt);
return $salt;
}
function hashPassword($password)
{
// Realiza el key stretching mediante iteraciones para aumentar la seguridad
$iterations = 10000; // Puedes ajustar este valor según tus necesidades
$hashedPassword = $password;
for ($i = 0; $i < $iterations; $i++) {
$hashedPassword = hash('sha256', $hashedPassword);
}
return $hashedPassword;
}
?>
El problema surge en este momento, cuando uno inicia sesión. No importa lo que ingreses, se recarga la página, la cookie de session no se agrega y no inicia sesion. Login.php:
<?php
session_start();
// Conexión a la base de datos
$servername = "****";
$username = "****";
$db_password = "***.";
$dbname = "u**";
$conn = new mysqli($servername, $username, $db_password, $dbname);
// Comprobar la conexión
if ($conn->connect_error) {
error_log("Conexión fallida: " . $conn->connect_error);
die("Conexión fallida: " . $conn->connect_error);
}
// Recibir datos del formulario
$email = strtoupper($_POST["email"]);
$password = $_POST["password"];
if (isset($_POST['remember']) && $_POST['remember'] == 'on') {
// Establece la cookie "remember" con un tiempo de expiración, por ejemplo, 10 días
setcookie('remember', '1', time() + (10 * 24 * 60 * 60), '/', '');
}
$_SESSION["email"] = $email;
// Preparar la consulta SQL utilizando sentencias preparadas
$sql = "SELECT password, salt FROM users WHERE email=?";
$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $email);
$stmt->execute();
$result = $stmt->get_result();
if ($result->num_rows > 0) {
$row = $result->fetch_assoc();
$user_password = $row["password"];
$salt = $row["salt"];
// Realizar el salting concatenando la contraseña proporcionada con la sal almacenada en la base de datos
$saltedPassword = $password . $salt;
// Realizar key stretching mediante iteraciones para verificar la contraseña
$hashedPassword = hashPassword($saltedPassword);
// Verificar la contraseña proporcionada
if ($hashedPassword === $user_password) {
// La contraseña es correcta, permite el acceso del usuario
$_SESSION['email'] = $email;
setcookie("sesion", true, time() + 1 * 24 * 60 * 60, '/', '');
header('Content-Type: application/json');
echo json_encode(array('success' => true, 'message' => 'Inicio de sesión exitoso'));
} else {
error_log("Acceso denegado");
header('Content-Type: application/json');
echo json_encode(array('success' => false, 'message' => 'Acceso denegado'));
}
} else {
error_log("Usuario no encontrado");
header('Content-Type: application/json');
echo json_encode(array('success' => false, 'message' => 'Usuario no encontrado'));
}
$stmt->close();
$conn->close();
function hashPassword($password)
{
// Realiza el key stretching mediante iteraciones para aumentar la seguridad
$iterations = 10000; // Puedes ajustar este valor según tus necesidades
$hashedPassword = $password;
for ($i = 0; $i < $iterations; $i++) {
$hashedPassword = hash('sha256', $hashedPassword);
}
return $hashedPassword;
}
?>
HTML
// Obtener una referencia al formulario y al botón de enviar
var form = document.getElementById('loginForm');
var submitButton = document.getElementById('btnSubmit');
// Agregar un controlador de eventos al botón de enviar
submitButton.addEventListener('click', function (event) {
event.preventDefault(); // Evitar que el formulario se envíe de forma tradicional
// Crear una instancia de XMLHttpRequest
var xhr = new XMLHttpRequest();
// Configurar la solicitud
xhr.open('POST', 'login.php', true);
// Configurar el encabezado de la solicitud si es necesario
xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
// Obtener los datos del formulario
var formData = new FormData(form);
// Realizar la solicitud AJAX
xhr.onreadystatechange = function () {
if (xhr.readyState === XMLHttpRequest.DONE) {
if (xhr.status === 200) {
// La solicitud se completó exitosamente
var response = JSON.parse(xhr.responseText);
if (response.success) {
// Mostrar mensaje de éxito
alert(response.message);
// Redirigir al usuario a una página específica
window.location.href = 'www.tests.allesconsultores.com.ar/tests.html';
} else {
// Mostrar mensaje de error
alert(response.message);
}
} else {
// Hubo un error en la solicitud
console.error('Error:', xhr.status);
}
}
};
// Enviar la solicitud con los datos del formulario
xhr.send(new URLSearchParams(formData));
});
password_hash
ypassword_verify
para trabajar con tus contraseñas?