0

Tengo un form en el que paso por post el usuario y password. Hago un count para verificar que exista el usuario, el problema es que siempre me devuelve 1.

<form action="welcome.php" method="post" role="form" id="login-form" autocomplete="off">
    <div class="form-group">
        <label for="acc" class="sr-only">Cuenta</label>
        <input type="text" name="acc" id="acc" class="form-control" placeholder="Usuario">
    </div>
    <div class="form-group">
        <label for="pass" class="sr-only">Password</label>
        <input type="password" name="pass" id="pass" class="form-control" placeholder="Contraseña">
    </div>
    <div class="checkbox">
        <span class="character-checkbox" onclick="showPassword()"></span>
        <span class="label">Mostrar contraseña</span>
    </div>
    <input type="submit" id="btn-login" class="btn btn-custom btn-lg btn-block" value="Ingresar">   
</form>

class_users.php

<?php
require('db.php');
class Usuario {
    function checkUser($acc, $pass){
        require('db.php');
        $data = array($acc, md5($pass));
        $stmt = $connection->prepare("SELECT count(*) FROM usuarios where desc_usuario = ? and password = ? ");

        $result = $stmt->execute($data);

        return $result;
    }
}
?>

welcome.php

<?php
error_reporting(E_ALL);
ini_set('display_errors', 1);
include('actions/db.php');
include('actions/users/class_users.php');
$acc = $_POST['acc'];
$pass = $_POST['pass'];

$usr = new Usuario();
$user = $usr->checkUser($acc, $pass);
echo $user;
1

2 respuestas 2

2

Estás capturando el valor de la ejecución

$result = $stmt->execute($data);
return $result;

En este caso, la respuesta 1 sólo indica que el statement se ejecutó. Tienes que traerte los registros obtenidos a partir de esa ejecución. Por ejemplo

$resultados = $stmt->fetchAll();
$validos = count($resultados);
return $validos;
-1

Se podría hacer de está manera teniendo los datos de:

$acc = $_POST['acc'];
$pass = $_POST['pass'];

Primero es necesario consultar si existe el usuario en la BBDD para luego verificar si la contraseña coincide con la que está en la BBDD.

$stmt = $connection->prepare("SELECT * FROM usuarios WHERE desc_usuario='$acc'"); //Consulta en la BBDD la existencia del usuario

if ($stmt->num_rows > 0) { //Verifica si el usuario existe
    $pass_db = $row["password"]; //Obtener el pass de la BBDD
    if (password_verify($pass, $pass_db)) {
        echo "Identificado correctamente";
    }
}

Por otro lado, te recomiendo guardar los passwords en HASH y no en Md5

Para guardar el password en un registro:

$pass = password_hash(base64_encode(hash('sha384', $input_pass, true)), PASSWORD_DEFAULT);

Y para consultar en un login.

$pass = base64_encode(hash('sha384', $input_pass, true));
2
  • La recomendación de hash por md5 está bien, pero antes pones un código que es inseguro y vulnerable a ataques de inyección SQL.
    – Alvaro Montoro
    Commented el 21 ago. 2017 a las 21:26
  • @AlvaroMontoro Puedes editar el código para todos podamos tomar en cuenta tus observaciones.
    – Raul
    Commented el 21 ago. 2017 a las 21:29

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.