2

столкнулся с ситауацией, что не прозодит проверка пароля

 $username = $_POST['username'];
        $password = $_POST['password'];
        $password = md5($password);
        $sql ="SELECT * FROM users WHERE usr ='$username'";
        $stmt =sqlsrv_query($conndev,$sql) or die(print_r(sqlsrv_query()));
        $row = sqlsrv_fetch_array($stmt, SQLSRV_FETCH_ASSOC); 
        if (!$row) 
        {
            echo '<p class="error">Неверные пароль или имя пользователя!</p>';
        }else 
        {
        var_dump($password);
        var_dump($row['pass']);         
            $pas_check = password_verify($password, $row['pass']);
            var_dump($pas_check);
            if ($pas_check == true) {
                echo '<p class="success">Поздравляем, вы прошли авторизацию!</p>';
                $_SESSION['user_id'] = $row['id'];           
            }
            else
            {
                echo '<p class="success">Пароль не верный</p>';
            }

Вот что выводит ВарДамп : string(32) "1844156d4166d94387f1a4ad031ca5fa" string(32) "1844156d4166d94387f1a4ad031ca5fa" bool(false) Хотя пароли идентичные, в чем может быть проблема? Или сделать явную проверку , без password_verify? Насколько это будет безопасно?

8
  • @PeterKolosov я так понял ,мне не нужно хэшировать вводимый пароль, а проверять его уже с хэшированным в БД, верно? 30 мая в 12:00
  • то было не то. password_verify НЕ сравнивает одно с другим, а: сначала хэширует первый аргумент, потом проверяет на соответствие с вторым аргументом. 30 мая в 12:02
  • @PeterKolosov , окей, понял в каком месте я затупил, но собсвтенно проблема не решилась, если сделать вот так: 'echo md5($password); var_dump($password); var_dump($row['pass']); $pas_check = password_verify($password, $row['pass']); var_dump($pas_check);' c выводом захешированного пароля, всё равно password_verify возвращает false 30 мая в 12:04
  • 1
    Буду рад если вы ещё проголосуете вверх, спасибо) 30 мая в 12:10
  • 1
    Теперь можете ) 31 мая в 13:06

1 ответ 1

2

Да, вам нужно делать простую проверку.

В документации написано, что функция password_verify

Verifies that the given hash matches the given password.

То есть это не то, что вам нужно. Просто проверяйте вместо

$pas_check = password_verify($password, $row['pass']);

это

$pas_check = $password === $row['pass'];

Переменную $password изменять не нужно.

1
  • 1
    я разобрался - я МД5 пытался рахеширвоать, а по вашей ссылке там штатное хеширвоание нужно использовать, спасибо 30 мая в 12:23

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.