1

Estoy intentando hacer un login sencillo. La idea es que busque en la base de datos el usuario y la contraseña.

El caso es que tengo puesto un SELECT que debería coger las filas con nombre y usuario que coinciden con las que ha introducido el usuario previamente.

El SELECT no me coge ninguna fila, es decir, no es culpa del SELECT sino de la sentencia para conectarse a la base de datos.

Codigo validar.php, donde ocurre el fallo:

<?php
        include 'serv.php';
        if(isset($_POST['login'])){
            $usuario = $_POST['user'];
            $pw = $_POST['pw'];
            $log = mysqli_query("SELECT * FROM noticiasBD WHERE user='$usuario' AND pw='$pw'");
            echo "tenemos: $log";
            echo '<script> alert("tenemos: $log");</script>';

            if (mysqli_num_rows($log)>0) {
                $row = mysql_fetch_array($log);
                $_SESSION["user"] = $row['user']; 
                echo 'Iniciando sesión para '.$_SESSION['user'].' <p>';
                echo '<script> window.location="panel.php"; </script>';
            }
            else{
                echo '<script> alert("Usuario o contraseña incorrectos.");</script>';
                echo '<script> window.location="index.php"; </script>';
            }
        }
    ?>

Aquí tengo el formulario donde llamo a validad.php. Se llama index.php:

<?php
session_start();
include 'serv.php';
if(isset($_SESSION['user'])){
echo '<script> window.location="panel.php"; </script>';
}
?>

<h1 class="h1" style="color:white">Login</h1>
        <form method="post" action="validar.php">
            <input type="text" class="form-control" name="user" autocomplete="off" required><br><br>
            <input type="password" class="form-control" name="pw" autocomplete="off" required><br><br>
            <input type="submit" class="btn btn-success" name="login" value="Entrar">
        </form>

Y me conecto a la base de datos a partir de serv.php, el cual no da fallo:

<?php
$conect = mysqli_connect('localhost', '--', '--', 'c1jormacolBD')
  or die('Error: ' . mysqli_connect_error());

Imagen de phpMyAdmin:

introducir la descripción de la imagen aquí

Se conecta bien a la base de datos pero no a la tabla en cuestión.

14
  • Podrías indicar si te da algun error "Table noticiasBD" not found o algo similar? Las passwords las tienes en texto plano?
    – j0se
    el 24 ago. 2017 a las 13:05
  • 4
    Al llamar a mysqli_query, te esta faltando indicar el link, esto debería mostrar un error como resultado. ¿Estas seguro que esta entrando al if(isset($_POST['login']))? PD: Tu código es susceptible a inyección sql, te recomiendo que leas este articulo
    – Marcos
    el 24 ago. 2017 a las 13:16
  • "SELECT * FROM noticiasBD" eso es una tabla o una base? no deberia ser "FROM noticiasBD.usuarios" ? Sí queres adjunta una caputa de tu BD
    – Nico
    el 24 ago. 2017 a las 13:48
  • @j0se , he mirado si hay algun tipo de error en la carpeta log, error.log, y no da ningun tipo de error.
    – CMorillo
    el 25 ago. 2017 a las 6:34
  • 1
    Podrias probar lo que te dice @Marcos de pasarle el link ? Mira el enlace que te puso
    – j0se
    el 25 ago. 2017 a las 6:46

1 respuesta 1

3

El principal problema que estás sufriendo es no pasar la conexión obtenida con mysqli_connect a la función mysqli_query():

$log = mysqli_query($conect, "
  SELECT *
  FROM noticiasBD
  WHERE user='$usuario' AND pw='$pw'
");

Además, estás olvidando usar session_start para iniciar las sesiones, sin embargo tratas de usarlas para almacenar el usuario logueado en:

$_SESSION["user"] = $row['user'];

Según el error que comentas en tu edición es probable que en otra parte del código (no coinciden los números de línea, es probable que hayas omitido código) se haya iniciado sesión, así que podemos usar session_status para saber si se hizo o no:

if (session_status() === PHP_SESSION_DISABLED) {
  session_start();
} 

Estás obteniendo el resultado con la función mysql_fetch_array en vez de mysqli_fetch_array y, además, obtendrías valores con índice numérico ($row[0], $row[1]), no asociativos ($row['user'], $row['pw']):

$row = mysql_fetch_array($log);

Por último, recordarte LA IMPORTANCIA DE PROTEGERTE CONTRA INYECCIÓN SQL haciendo uso de mysqli_real_escape_string.

Éste sería tu código arreglado:

<?php
/* Si vamos a usar sesiones debemos iniciarlas aquí también */
if (session_status() === PHP_SESSION_DISABLED) {
  session_start();
} 
include 'serv.php';
if (isset($_POST['login'])) {
    /* ¡¡NO OLIVIDES hacer esto para evitar inyección SQL!!! */
    $usuario = mysqli_real_escape_string($conect, $_POST['user']);
    $pw = mysqli_real_escape_string($conect, $_POST['pw']);
    $log = mysqli_query($conect, "
      SELECT *
      FROM noticiasBD
      WHERE user='$usuario' AND pw='$pw'
    ");
    /* Debemos comprobar si hubo un fallo en la consulta */
    if ($log === false) {
        die('ERROR SQL: ' . mysqli_error($conect));
    }
    $row = mysqli_fetch_assoc($log);
    if ($row !== false) {

        /* Esto no funciona sin el "session_start()" inicial */
        $_SESSION["user"] = $row['user'];
        echo '<p>Iniciando sesión para ' .
          htmlspecialchars($_SESSION['user']) . '</p>';
        echo '<script> window.location="panel.php"; </script>';
        /* Probablemente esto sea mejor que javascript */
        header('Location: panel.php');
    } else {
        echo '<script> alert("Usuario o contraseña incorrectos.");</script>';
        echo '<script> window.location="index.php"; </script>';
    }
}

Además, he agregado control de error para gestionar errores SQL en la consulta y he detectado si el usuario existe o no obteniendo el resultado de la consulta con mysqli_fetch_assoc (valdrá true si se encontró o false, no hay más registros, si no fue así).

Por último, es una mala práctica guardar claves en texto plano en la base de datos. Si alguien consigue acceder a esos datos (por lo pronto ya estabas permitiendo que lo hicieran por sufrir un bug de inyección SQL) expondrías los datos de acceso y pondrías muy fácil suplantar las identidades de tus clientes.

5
  • tu sugerencia ha funcionado perfectamente, pero me ha surgido un nuevo problema. Después de validad.php le redirecciono a panel.php pero no es capaz de hacerlo, es como si la sesión estuviera abierta o hay algun error de parentesis. Acabo de editar la pregunta original. Agradeceria que le echara un vistazo.
    – CMorillo
    el 25 ago. 2017 a las 8:05
  • Gracias por la sugerencia de las contraseñas, buscaré información para mejorarlo
    – CMorillo
    el 25 ago. 2017 a las 8:08
  • 1
    PD: Acabo de detectar un error! has usado mysql_fetch_array en vez de mysqli_fetch_array, pero ya no es necesario porque hice un fetch_assoc antes. Edito mi respuesta para corregirlo. el 25 ago. 2017 a las 8:26
  • 1
    Ya está corregido. Espero que ahora te funcione perfecto :) el 25 ago. 2017 a las 8:34
  • 1
    Muy buen aporte, funciona perfecto, ya no me hará falta crear un hilo nuevo
    – CMorillo
    el 25 ago. 2017 a las 8:38

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.