1

Регистрация работает отлично, данные добавляются в базу, проверки все срабатывают как надо и вопросов нет, но вот авторизация мне пишет постоянно "НЕ ВЕРНЫЙ ЛОГИН ИЛИ ПАРОЛЬ".

Переадресация на главную не происходит, сессия не создаётся и вылазит только это сообщение.

<?php
//регистрация
function checkUser($mysqli, $login, $name) {
    $stmt = $mysqli->prepare("SELECT * FROM users WHERE login=? or name=?"); 
    $stmt->bind_param("ss", $login, $name);
    $stmt->execute();
    $result = $stmt->get_result();
    return $result->fetch_assoc();
}
function regUser($mysqli, $login, $name, $pass) {
    $pass = password_hash($password, PASSWORD_DEFAULT);
    $sql = "INSERT INTO `users` (`login`, `name`, `pass`, `regdate`) VALUES(?,?,?, NOW())";
    $stmt = $mysqli->prepare($sql); 
    $stmt->bind_param("sss", $login, $name, $pass);
    $stmt->execute();
}
$errors = [];
$user = checkUser($mysqli, $_POST['login'], $_POST['name']);
if ($user && isset($_POST['enter'])) {
    if($_POST['login'] == ''){
        $errors[] = "Введите логин";
    }
    if($_POST['name'] == ''){
        $errors[] = "Введите отображаемое имя";
    }
    if($_POST['pass'] == ''){
        $errors[] = "Введите пароль";
    }
    if($_POST['passconf'] == ''){
        $errors[] = "Введите подтверждение пароля";
    }
    if ($user['login'] == $_POST['login']) {
        $errors[] = "Введённый логин уже занят";
    }
    if ($user['name'] == $_POST['name']) {
        $errors[] = "Введённое имя уже занято";
    }
}
if (!$errors) {
    regUser($mysqli, $_POST['login'], $_POST['name'], $_POST['pass']);
} else {
    $erro = '<div id="errors">'.array_shift($errors).'</div>';
}


//Скрипт авторизации
function loginUser($mysqli, $login, $name, $pass, $regdate) {
    $stmt = $mysqli->prepare("SELECT * FROM users WHERE login=? or name=? or pass=? or regdate=?");
    $pass = password_verify($_POST['pass'], $user['pass']); 
    $stmt->bind_param("ssss", $login, $name, $pass, $regdate);
    $stmt->execute();
    $result = $stmt->get_result();
    $user = $result->fetch_assoc();
}
$userlog = loginUser($mysqli, $user['login'], $user['name'], $user['pass'], $user['regdate']);
if (isset($_POST['go'])) {
    if($_POST['login'] == ''){
        $errors[] = "Вы не ввели логин";
    }
    if($_POST['pass'] == ''){
        $errors[] = "Вы не ввели пароль";
    }
    if ($user['login'] != $_POST['login']) {
        $errors[] = "Неверный логин или пароль";
    }
    if ($user['pass'] != $_POST['pass']) {
        $errors[] = "Неверный логин или пароль";
    }
}
if (!$errors && $userlog) {
        $_SESSION['USER_NAME'] = $user['name'];
        $_SESSION['USER_REGDATE'] = $user['regdate'];
        $_SESSION['USER_LOGIN_IN'] = 1;
        exit(header('Location: /'));
} else {
    $error = '<div id="errors">'.array_shift($errors).'</div>';
}

1 ответ 1

3

$userlog будет пустым потому, что функция loginUser ничего не возвращает из-за пропущенного return, а мы получим код из else в условии if (!$errors && $userlog) {...}. Если это 1 файл, а не 2, то после скрипта регистрации идёт сразу скрипт авторизации. При удачной регистрации $user будет пустым, потому что проверка функцией checkUser вернула пустой результат, как и задумано. Следовательно условия $user['login'] != $_POST['login'] или $user['pass'] != $_POST['pass'] сработают в любом случае.

Почему при авторизации вы проверяете ещё и имя вместе с датой регистрации? Можно же проверять по введённому логину и паролю, как это почти везде происходит. Учитывая все ошибки, функцию loginUser лучше переписать, как и дальнейший код. К примеру так.

function loginUser($mysqli, $login, $pass) {
  $stmt = $mysqli->prepare("SELECT * FROM users WHERE login=? AND pass=?");
  $pass = password_hash($pass, PASSWORD_DEFAULT); 
  $stmt->bind_param("ss", $login, $pass);
  $stmt->execute();
  $result = $stmt->get_result();
  $user = $result->fetch_assoc();
  return $user;
}
$userlog = loginUser($mysqli, $_POST['login'], $_POST['pass']);
if (isset($_POST['go'])) {
  if($_POST['login'] == ''){
    $errors[] = "Вы не ввели логин";
  }
  if($_POST['pass'] == ''){
    $errors[] = "Вы не ввели пароль";
  }
  if(empty($userlog)){
    $errors[] = "Неверный логин или пароль";
  }
}
if (!$errors && $userlog) {
  $_SESSION['USER_NAME'] = $userlog['name'];
  $_SESSION['USER_REGDATE'] = $userlog['regdate'];
  $_SESSION['USER_LOGIN_IN'] = 1;
  exit(header('Location: /'));
} else {
  $error = '<div id="errors">'.array_shift($errors).'</div>';
}

P.S

Действительно. Код в функции будет работать не корректно тк password_hash постоянно новые значения задаёт. Можно попробовать сделать следующие изменения. Должно сработать.

function loginUser($mysqli, $login, $pass) {
  $stmt = $mysqli->prepare("SELECT * FROM users WHERE login=?");
  $stmt->bind_param("s", $login);
  $stmt->execute();
  $result = $stmt->get_result();
  $user = $result->fetch_assoc();
  if(password_verify($pass, $user['pass'])){
    return $user;
  }
}
8
  • ваш пример выводит сейчас сообщение НЕ ВЕРНЫЙ ЛОГИН ИЛИ ПАРОЛЬ и я думаю (но это не точно), что это из-за несовпадения паролей, так как в БД пароль захэшированный и соответственно его нужно вытащить и расхэшировать заменив строчку $pass = password_hash($pass, PASSWORD_DEFAULT); на эту строчку $pass = password_verify($pass, PASSWORD_DEFAULT); ...........может быть в этом ошибка или нет?
    – ARTISUC
    24 июн 2020 в 11:25
  • И да, код регистрации и авторизации находятся в одном файле. А как лучше сделать, разместить их в разные файлы?
    – ARTISUC
    24 июн 2020 в 11:27
  • 1
    @ARTISUC, не совсем. Мы получаем через post не хэшированную версию пароля. Если просто подставить принятые данные, то мы в запросе к БД будем сравнивать хэшированный пароль и нет. Поэтому нужно их к одному виду привести, что сделано через password_hash
    – Pashok
    24 июн 2020 в 11:29
  • 1
    А если выдаёт Неверный логин или пароль, то что-то не так либо с условием empty($userlog), либо с условием !$errors && $userlog. Попробуйте через echo проверить что не так
    – Pashok
    24 июн 2020 в 11:33
  • 1
    @ARTISUC, Дополнил ответ
    – Pashok
    24 июн 2020 в 13:50

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.