1

Я впервые пробую PDO и впервые делаю регистрацию и авторизацию.

С регистрацией проблем не было. Но теперь с fectchAll независимо от обстоятельств выдает пустой массив.

Я хочу понять где я допустил ошибки и как сделать правильно?
Вот код:

<?php
    require 'connectDB.php';

    $login = filter_var(trim($_POST['login']), FILTER_SANITIZE_STRING);
    $password = filter_var(trim($_POST['password']), FILTER_SANITIZE_STRING);

    $password = password_hash($password, PASSWORD_DEFAULT);

    // sql запрос в базу
    $sql = "'SELECT FROM * `users` WHERE `login` = '$login' AND `password` = '$password'";

    $query = $pdo->prepare($sql);

    $user = $query->fetchAll();

    if (count($user) == 0) {
        echo '<script>alert("Такой пользователь не найден")</script>';
        exit();
    }

    print_r($user);
    exit();

//    $query->execute([
//        'login' => $login,
//        'password' => $password
//    ]);

Лично мне кажется я не совсем хорошо обрабатываю sql запрос. Но если я его нормально сделаю, то что мне дальше делать?

8
  • Я сейчас посидел на форумах, почитал, оказывается PDO использовать в данном случае бессмысленно? Если это так, то что нужно использовать, и как это сделать? 20 мар 2021 в 8:31
  • это на каком форуме такое написано? 20 мар 2021 в 8:39
  • а по сути - надо открыть документацию на функцию password_hash и почитать, как с ней работать 20 мар 2021 в 8:43
  • и вернуть execute назад 20 мар 2021 в 8:43
  • и потом можно будет написать ответ на свой вопрос 20 мар 2021 в 8:43

1 ответ 1

5

Ошибок у вас довольно много. Некоторые из них:

В sql запросе в самом начале стоит лишний апостроф.
Также пишется SELECT * FROM , а не SELECT FROM *

Если вы делаете запрос в prepare, то для начала нужно ставить "заглушки", а не готовые значения. Готовые значения подставляем только в следующем шаге внутри execute. (Ниже есть пример)

Также очень важно, что если мы проверяем пароль, захешированный через password_hash(), проверить его корректность мы должны уже в другой функции -
password_verify($password, $hash)
где 1 параметром мы передаем введенный пароль пользователя,
а 2-м параметром захешированный пароль из базы

Поэтому убедитесь предварительно, что ваши пароли в базе хранятся уже в захешированном виде.

Так же не следует в данном случае применять функцию filter_var c фильтром FILTER_SANITIZE_STRING, поскольку он может испортить логин и пароль, и они не совпадут.

Все исправил и прокомментировал в коде ниже, можете сравнить со своим.

require 'connectDB.php';

$login = trim($_POST['login']);
$password = trim($_POST['password']);

// sql запрос в базу (знак "?" это заглушка
// в которую мы подставим значение в execute далее)
$sql = "SELECT * FROM `users` WHERE `login` = ?";
$query = $pdo->prepare($sql);
// Сейчас как раз подставляем значение в нашу "?" - загрушку выше.
$query->execute([$login]);
// В данном случае лучше использовать fetch вместо fetchAll,
// так ищем в базе только 1 совпадение
$user = $query->fetch(PDO::FETCH_ASSOC);

// Теперь проверяем правильный ли введен пароль
// с помощью password_verify()
if($user && password_verify($password, $user['password'])) {
    echo 'Авторизация прошла успешно';
} else {
    echo '<script>alert("Такой пользователь не найден")</script>';
    exit();
}

//print_r($user);

Что касается константы PDO::FETCH_ASSOC внутри fetch, - она нам возвращает только текстовые индексы. Это аналог mysql_fetch_assoc()

9
  • Дмитрий, а давайте вы сначала прочитаете в документации, как пользоваться функцией password_hash, а потом будете ответы писать? 20 мар 2021 в 13:04
  • @Ипатьев , не поверите, прежде чем писать ответ, я почитал. И не только в документации. 20 мар 2021 в 13:06
  • из мелких замечаний: 1. переменные в РНР пишутся без кавычек. В кавычках пишутся строки. Очень важно не путать эти два элемента языка. 2. убрать filter_var из кода, поскольку в данном случае они не нужны и только мешают. 3. "удобная" функция rowCount() на самом деле абсолютно бесполезна. Поскольку можно просто написать if (!$user) { 20 мар 2021 в 13:11
  • 1
    Очень хорошо, теперь правильно. Но не до конца. Во-первых, надо переписать так if($user && password_verify($password, $user['password'])) { иначе будет ошибка Undefined index если пользователь не найден. плюс имя поля указать правильно. Во-вторых, надо исправить остальные замечания. В комментарии про кавычки вообще какая-то чушь несусветная написана. Переменные в РНР пишутся вообще без кавычек 20 мар 2021 в 14:46
  • 1
    Про кавычки это какая-то ерунда. Никакого специального синтаксиса для execute не существует. execute принимает на вход обычный массив. Чтобы в РНР написать массив, в него надо просто положить переменные, без всяких кавычек. Ещё надо убрать filter_var, потому что писать это здесь бессмысленно, но при этом можно испортить данные и запрос их не найдет 20 мар 2021 в 15:09

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.