ゲストのログインスクリプトを確認しますか？

Question

何らかの理由で私のチェック用のログインスクリプトがゲストを招待しています。

私はサイトをまだ生きているわけではありません。

ユーザーがHTMLフォームに入力したユーザー名とパスワードをデータベースでチェックしますが、何らかの理由で結果が得られない場合でもユーザー名はnilに設定されます ユーザー名にユーザー名を追加しますが、結果が得られない場合はユーザー名を何も設定しません。

私はif文を持っていますが、それでも設定しています。

$myusername = mysql_real_escape_string($_POST['myusername']); 
$mypassword = mysql_real_escape_string($_POST['mypassword']); 


$sql  = "SELECT * FROM users WHERE username='$myusername'"; 
$result  = mysql_query($sql) or die(mysql_error()); 
$battle_get = mysql_fetch_array($result);  

if ($battle_get['password'] == $mypassword) 
{  
    $_SESSION['username'] = $myusername ; // store session data  
    header('Location: http://mydomainname.net/new_rpg/dashboard.php');  
} else { 
    echo "wrong password" ; 
} 

Answer 1

Yurミス：

は、私は、ユーザーではないよと言います。

従って$battle_get['password'] = false;

と$mypasswordもfalseあり、

ので$battle_get['password']は、あなたがこの問題を解決することができます$mypassword

双方向に等しいです。

はまず、SQLとパスワードをチェク：

$sql = "SELECT * FROM users WHERE username='$myusername' AND password = '$mypassword'";

または

if(!$battle_get) { 

echo "wrong password" ; 

} 

Answer 2

ユーザーアカウントが実際に存在するかどうかを確認しません。結果セットにNOレコードが含まれていても、結果セットから行を盲目的にフェッチするだけです。つまり、$battle_getは空の配列になります（クエリが失敗した場合はfalse）。次に、送信されたパスワードと文字列比較を行います。そのパスワードも空である場合、あなたは...、ユーザーの中にif (empty == empty)とブームをやっている

あなたがやるべきことは何である：多くの行が返されたかを確認する

$username = mysql_real_escape_string($_POST['username']); 
$password = mysql_real_escape_string($_POST['password']); 

$sql = "SELECT ... FROM users WHERE (username = '$username') AND (password = '$password')"; 
$result = mysql_query($sql) or die(mysql_error()); 

if (mysql_num_rows($sql) != 1) { 
    die("Invalid username and/or password"); // don't tell the user which failed. 
} 

は重要である - ノー場合。行が返された場合、ユーザーは存在しないか、パスワードが間違っています。 1行が返された場合、有効なログインです。複数の行が返された場合は、データベースにユーザー名とパスワードのペアが重複していますので、すぐに修正する必要があります。

上記の「md5 is hard」のコメントを見ただけで、あなたは間違っています。 MD5はとても簡単です。ユーザーレコードを作成するとき

、あなたは簡単にパスワードをハッシュすることはできません。

INSERT INTO users (password) VALUES (MD5('$password')); 

とログインのチェックのために：すべてでそれに

が

SELECT ... WHERE (password = MD5('$password')); 

何も。