ハッシュされたパスワードの検証とログインの確認pdo php

Question

こんにちは私はpdoを使ってデータベースからハッシュされたパスワードを返し、パスワードが保護されている間にログインできるようにしています。パスワードをハッシュするサインアップページを作成しました。私は今これを解体しようとしています。私は近いと思いますが、これは何度も同じ場所に止まっていますが、誰かが私のコードを完成させるのを助けてくれることを願っていましたか？

PHP致命的なエラー：キャッチされていないエラー：/var/www/html/login.php:54\nStackトレースのブール値でメンバ関数fetch（）を呼び出します。\ n＃0 {メイン} \ nスローイン/ライン54上のVAR/WWW/HTML/login.php、リファラ：http://172.16.62.211/login.php

if (isset($_POST['submit'])){ 
    $username = $_POST['username']; 
    $password = $_POST['password']; 

    $q = $handler->prepare('SELECT * FROM users WHERE username = ?'); 
    $query = $q->execute(array(
     $username)); 
    $_SESSION['username'] = $username; 
    $count = $q->rowCount(); 
    if ($count == 1 -> fetch(PDO::FETCH_ASSOC)){ 
     $hash_pwd = $count['password']; 
     $hash = password_verify($password, $hash_pwd); 

    if ($hash_pwd == 0) { 
     header("location: login.php?error=empty"); 
    } 

    else { 
    $q = $handler->prepare('SELECT * FROM users WHERE username = ? && password = $hash_pwd'); 
    $query = $q->execute(array(
     $username, 
     $password)); 

    $count = $q->rowCount(); 
     if($count == 1){ 
      $_SESSION['username'] = $username; 
      header("location: index.php"); 
      return; 
     } else { 
     echo '<p class="error-message3">'.'<br>'.'<br>'."You have ented an incorrecct login!<br>Please try again.".'</p>'; 
    }}}} 
    ?> 

Answer 1

あなた文句を言わないと、あなたCANT 'dehash' データベースからのパスワード。

通常のルーチンは基本的にof converting the password inserted by the user to your security logic encrypt and compare with the password stored in your db (hashed too)で、2つの値はvalidateと等しくなければなりません。

ハッシュが正しく行われた場合、パスワードは、何らかの形で不可能なものであり、あなたのアイデアに関するセキュリティ上の欠陥を指摘するものではありません。

if ($count == 1 -> fetch(PDO::FETCH_ASSOC)){ 
     $hash_pwd = $count['password']; 
     $hash = password_verify($password, $hash_pwd); 
     if ($hash === false) { 
      header("location: login.php?error=empty"); 
     } else { 

       $_SESSION['username'] = $username; 
       header("location: index.php"); 
       return; 
      } 
    } else { 
      echo '<p class="error-message3">'.'<br>'.'<br>'."You have ented an incorrecct login!<br>Please try again.".'</p>'; 
     } 

PS：コードをよりよくインデントし、上記のようにチェックしたpassword_verifyにチェックを繰り返していることに注意してください。

Answer 2

あなたはpassword_verifyの使用方法を理解する必要があり、それは（あなたのデータベースから）がバージョンをハッシュ化された生（ハッシュ解除済み）パスワードのバージョンとを取り、偽/それぞれtrueを返します。

<?php 
if (password_verify($raw, $hash)) { 

} 
?> 

あなたは、あなたのクエリでそれを比較する必要があります（ユーザ名が有効であれば）だけで提供されたユーザ名によってからパスワードを取得し、検証しません。