0

Есть форма, пользователь вводит в нее имя и пароль, скрипт проверят есть ли уже такое имя в БД, если нет-то записывает пару в таблицу. Если такое имя есть то проверяет подходит ли введенные имя и пароль. Подскажите пожалуйста, я никак не могу реализовать проверку соответствия имени и пароля.

$connection = mysqli_connect('127.0.0.1', 'root', 'omnikross', 'easy_chat');

if( $connection == false)
{
    echo 'Не удалось подключиться к базе данных!<br>';
    echo mysqli_connect_error();
    exit();
}

session_start();
$name     = $_POST['user'];
$password = $_POST['pass'];
$_SESSION['user'] = $name;
$_SESSION['pass'] = $password;
$count = mysqli_query($connection, "SELECT `Name` FROM  `users` WHERE(`Name` = '$name')");

if (mysqli_num_rows($count) == 0)
{
    mysqli_query($connection, "INSERT INTO `users` (`Name`, `Password`) VALUES ('$name', '$password')");
} 
else if ( mysqli_num_rows (mysqli_query($connection, "SELECT * FROM  `users` WHERE(`Name` = '$name', AND `Password` = '$password'") ) == 0) 
{
    http_response_code(400);
    die();
}
5
  • 1
    никогда не подставляйте значения переменных непосредственно в текст запроса. В вашем случае появление кавычек в имени пользователя или пароле приведет к синтаксической ошибке запроса во время выполнения в лучшем случае и к взлому вашего сервера в худшем (50% всех взломов происходят именно по таким причинам). Всегда используйте привязку значений переменных php.net/manual/ru/mysqli-stmt.bind-param.php
    – Mike
    Commented 22 сент. 2017 в 21:26
  • @Mike Хорошо, не буду, но конкретно сейчас проблема в том что это не имеет смысле т.к. код не работает..
    – Tick-Tack
    Commented 22 сент. 2017 в 21:28
  • А что у вас в части WHERE(Name = '$name', AND Password = '$password'") делает запятая ?
    – Mike
    Commented 22 сент. 2017 в 21:34
  • случайно нажал, без нее тоже не работает так, как нужно. Оно выбивает ошибку когда даже пароль подходит.
    – Tick-Tack
    Commented 22 сент. 2017 в 21:36
  • Возможный дубликат вопроса: Не работает запись в базу данных из php(SQL запрос ошибок не выдавал)
    – Visman
    Commented 23 сент. 2017 в 3:34

2 ответа 2

1

У вас пара мелких ошибок с синтаксисом, путаница в вопросе и серьезные проблемы с безопасностью

  1. Пароль надо хешировать специальной функцией
  2. Обязательно заменяйте переменные в запросе на знаки подстановки

Если речь про авторизацию, то код должен быть примерно таким

<?php
session_start();
$connection = mysqli_connect('127.0.0.1', 'root', 'omnikross', 'easy_chat');

$name     = $_POST['user'];
$password = $_POST['pass'];

$stmt = $connection->prepare("SELECT * FROM  `users` WHERE `name`=?");
$stmt->bind_param("s", $name);
$stmt->execute();
$user = $stmt->get_result()->fetch_assoc();
if ($user && password_verify($password, $user['pass']))
{
    $_SESSION['auth_user_id'] = $user['id'];
} else {
    // сообщить об ошибке авторизации
}
-1

Конечно можешь. Расширь запрос, который ты формируешь. В итоге получится что-то вроде

SELECT * FROM `users` WHERE `Name` = '$name' AND `Password` = '$password'

Но я бы не хранил пароль в чистом виде ни в базе данных ни в сессии пользователя. Уж слишком это небезопасно. Погугли на тему сравнения хеш-сум паролей

1
  • Не совсем понимаю о чем вы, мой запрос вроде так и выглядит.
    – Tick-Tack
    Commented 22 сент. 2017 в 21:23

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.