2

Descargué el siguiente código desde esta página me registro en local con phpmyadmin, pongo el usuario, me deja entrar, pero si pongo el usuario y la contraseña me da el else, he investigado que tengo que poner password_verify pero en el if no se dónde colocarlo.

¿Es en el segundo o en el primer if?

<?php
session_start();
require 'php/conexion.php';
?>
<?php
if (isset($_REQUEST['registrar']) && isset($_REQUEST['reg_agree'])) {
    if ($_REQUEST['contrasena'] === $_REQUEST['contrasenaConfirmar']) {
    $usuario = $_REQUEST['usuario'];
    $password = $_REQUEST['contrasena'];
    $encriptar = password_hash($password, PASSWORD_BCRYPT, ["cost" => '11']);
    $conexion->query("INSERT INTO usuarios (usuario, contrasena) VALUES ('$usuario', '$encriptar')");
    $_SESSION['logged'] = "Logged";
    $_SESSION['usuario'] = $usuario;
    $_SESSION['contrasena'] = $encriptar;
    header("Location: index.php");
    } else {
        echo "<div class='error'><span>Las Contraseñas no son iguales</span></div>";
    }
} elseif (isset($_REQUEST['registrar']) && isset($_REQUEST['reg_agree']) === FALSE) {
    echo "<div class='error'><span>Necesitas Estar de Acuerdo con los Términos y Condiciones</span></div>";
}
?>
<!DOCTYPE html>
<html lang="es">
<head>
<link rel="StyleSheet" href="registro.css" media="all" type="text/css"></link>
<title>Registro</title>
<meta charset="UTF-8"/>
</head>
<body>
<div id="login">
        <form id="register-form" class="text-left" method="post">
        <h3>Registro</h3>
            <div class="main-login-form">
                <div>
                    <div>
                        <input type="text"  class="form-control" id="reg_username" name="usuario" placeholder="Usuario">
                    </div>
                    <div>
                        <input type="password" class="form-control" id="reg_password" name="Contrasena" placeholder="Contraseña">
                    </div>
                    <div>
                        <input type="password" class="form-control" id="reg_password_confirm" name="ConfirmarContraseña" placeholder="Confirmé contraseña">
                    </div>

                    <div>
                        <input type="checkbox" class="" id="reg_agree" name="reg_agree">
                        <label for="reg_agree">de acuerdo con los términos y condiciones</label>
                    </div>
                </div>
                <button id="boton" type="submit" class="login-button" name="registrar"><i class="fa fa-chevron-right">Registrarme</i></button>
            </div>
            <div class="etc-login-form">
                <p>Ya tiene una cuenta? <a  style="color: #fff; text-decoration: none;"href="index.php">Login Aquí</a></p>
            </div>
        </form>
</div>
</body>
</html>

LOGIN

<?php
session_start();
require 'php/conexion.php';
?>
<?php
if (isset($_REQUEST['iniciar'])) {
    $usuario = $_REQUEST['usuario'];
    $password = $_REQUEST['contrasena'];

    $sql = $conexion->query("SELECT * FROM usuarios WHERE usuario='$usuario'");
    while ($login = $sql->fetch_assoc()) {
        $usuarioDB = $login['usuario'];
        $passwordDB = $login['contrasena'];
    }
    if ($usuario == isset($usuarioDB) && password_verify($password, $passwordDB)) {
        $_SESSION['logged'] = "Logged";
        $_SESSION['usuario'] = $usuarioDB;
        $_SESSION['contrasena'] = $passwordDB;
        header("Location: login.php");
    } elseif ($usuario !== isset($usuarioDB)) {
        echo "<div class='error'><span>El Nombre de Usuario que has Introducido es Incorrecto</span></div>";
    } elseif (password_verify($password, $passwordDB) === FALSE) {
        echo "<div class='hola'><span>La Contraseña que has Introducido es Incorrecta</span></div>";
    }
}
?>

<!DOCTYPE html>
<html lang="es">


<head>
<link rel="StyleSheet" href="stilos.css" media="all" type="text/css"></link>
<meta charset="UTF-8"/>
<title>Hosting</title> 


</head>




<body>
<h1 id="nombre">HostingMinecraft</h1>
<ul id="button">
<li><a style="color: #fff; text-decoration: none;" href="../index.php">Planes</a></li>
<li><a style="color: #fff;text-decoration: none;"href="../servicios/servicios.php">Otros servicios</a></li>
<li><a style="color: #fff; text-decoration: none;"href="../contacto/contacto.php">Soporte</a></li>

</ul>



<div id="loginForm" class="fromlogin">
    <form id="form1">
        <input type="text" size="6" placeholder="Usuario" name="usuario" class="form-control" id="lg_username" ></input>
        <input type="password" size="6" maxlength="10" id="lg_password" name="contrasena" placeholder="Contraseña"/>
        <input type="submit" class="login-button" name="iniciar" value="Iniciar Sesión"></input>
    </form>
</div>
<a href="../recuperaciondecontraseña/contraseña.php" id="olvidarcontraseña">Olvdaste tu contraseña?</a>
<a href="registro.php" id="registro">Registro</a>
</body>



</html>
1
  • Quiza tu problema está dentro de el archivo requerido conexion.php el cual quiza debas revisar ¿esto resuelve tu duda?
    – LuxBellum
    Commented el 15 ago. 2017 a las 19:23

1 respuesta 1

0

Te aconsejo usar sentencias preparadas o PDO, para obtener mayor seguridad, y desde mi punto de vista quizás podrías mejorar un poco la estructura de tu código PHP, por ejemplo, podrías usar la función num_rows para saber si existe el registro del usuario en tu sentencia y en caso contrario lanza tu error.

Nota: para que funcione mis ejemplos debes añadir el method="POST" en tu formulario login, ya que por defecto usa el método GET.

Ejemplo actualizado:

<div id="loginForm" class="fromlogin">
    <form id="form1" method="POST">

Ejemplo completo mysqli::query():

if (isset($_POST['iniciar'])) {

    //Datos formulario.
    $usuario = $_POST['usuario'];
    $password = $_POST['contrasena'];
    //Sentencia
    $sql = $conexion->query("SELECT * FROM usuarios WHERE usuario='$usuario' LIMIT 1");
    //Comprobamos si existe registro.
    if ($sql->num_rows===1) {
        //Asociamos datos.
        while ($login = $sql->fetch_assoc()) {
            //Obtenemos datos desde la Base de datos.
            $usuarioDB = $login['usuario'];
            $passwordDB = $login['contrasena'];
            //Comprobamos contraseña.
            if (password_verify($password, $passwordDB)) {
                $_SESSION['logged'] = "Logged";
                $_SESSION['usuario'] = $usuarioDB;
                $_SESSION['contrasena'] = $passwordDB;
                header("Location: login.php");
            } else {
                echo "<div class='hola'><span>La Contraseña que has Introducido es Incorrecta</span></div>";
            }
        } $sql->close();//Cerramos sentencia.
    } else {
        $sql->close();//Cerramos sentencia.
        echo "<div class='error'><span>El Nombre de Usuario que has Introducido es Incorrecto</span></div>";
    }
}

Ejemplo completo mysqli::prepare:

if (isset($_POST['iniciar'])) {

    //Datos
    $usuario = $_POST['usuario'];
    $password = $_POST['contrasena'];

    $sql = $conexion->prepare("SELECT usuario,contrasena FROM usuarios WHERE usuario=? LIMIT 1");
    //Pasamos el parametro por separado ?, la es 's', es decir, es de tipo string (cadena).
    $sql->bind_param("s",$usuario);
    //Ejecutar sentencia.
    $sql->execute();
    //Alamacenamiento base datos.
    $sql->store_result();
    //Comprobamos si existe registro.
    if ($sql->num_rows===1) {
        //Obtenemos datos BD.
        $sql->bind_result($usuarioDB,$passwordDB);      
        while ($sql->fetch()) {         
            //Comprobamos contraseña.
            if (password_verify($password, $passwordDB)) {
                $_SESSION['logged'] = "Logged";
                $_SESSION['usuario'] = $usuarioDB;
                $_SESSION['contrasena'] = $passwordDB;
                header("Location: login.php");
            } else {
                echo "<div class='hola'><span>La Contraseña que has Introducido es Incorrecta</span></div>";
            }
        } $sql->close();
    } else {
        $sql->close();
        echo "<div class='error'><span>El Nombre de Usuario que has Introducido es Incorrecto</span></div>";
    }
}

Nota: PASSWORD_BCRYPT - Usar el algoritmo CRYPT_BLOWFISH para crear el hash. Producirá un hash estándar compatible con crypt() utilizando el identificador "$2y$". El resultado siempre será un string de 60 caracteres, o FALSE en caso de error. ¡Importante que en tu tabla 'usuario' la columna 'contrasena' permita hasta 60 caracteres!

Si quieres puedes leer este interesante artículo de SOes: ¿Cómo evitar la inyección SQL en PHP?

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.