password_verify使用password_hash错误在登录时将用户存储在会话中

Question

我在使用password_hash时遇到问题，当我登录时，我想让用户登录Session，但是当我使用密码验证时，它不起作用，ECHO不返回任何内容。 我该如何解决？ 谢谢这是我的代码：

    <?php
session_start();
include_once("../Backend/conexao_db.php");

if((isset($_POST['txt_usuario'])) && (isset($_POST['txt_senha']))) {
    $usuario = mysqli_real_escape_string($conn, $_POST['txt_usuario']); 
    $pass = mysqli_real_escape_string($conn, $_POST['txt_senha']);
    $passwordhash = password_hash($pass, PASSWORD_DEFAULT);

    $result_usuario = "SELECT * FROM tbl_Usuario WHERE email = '$usuario' && senha = '$pass'";
    $resultado_usuario = mysqli_query($conn, $result_usuario);
    if ($resultado = mysqli_fetch_assoc($resultado_usuario)) {
        if (password_verify($pass, $passwordhash)) {


        $_SESSION['usuarioId'] = $resultado['id'];
        if ($_SESSION['empresaID'] == "") {
            echo $_SESSION['usuarioId'];

            } else {

            }

        }
    }
}

当我不使用password_verify时，此代码可以正常工作。

Answer 1

您在这里所做的事情没有用，因为您正在测试刚创建的用于与自身匹配的密码哈希。 这将永远是正确的。

在不知道您的会话变量的情况下，我会猜测， if ($_SESSION['empresaID'] == "")引起了您的错误，除非您在其他位置进行设置。

但是要改善您的代码：

您应该将哈希存储在数据库中，并测试结果是否与输入的密码匹配。 此过程的目标是您不必在数据库中以明文形式存储密码。

另外，请使用准备好的语句来防止SQL注入。 在我的示例中，我使用了PDO 。

使用准备好的语句，您可以避免mysqli_real_escape_string如果其中包含任何特殊字符，它将更改密码。

if((!empty($_POST['txt_usuario'])) && (!empty($_POST['txt_senha']))) {
  $usuario = $_POST['txt_usuario'];
  $pass = $_POST['txt_senha'];

  // returns a connection to pdo
  $conn = Database::connectPDO();
  $stmt = $conn->prepare('SELECT * FROM tbl_Usuario WHERE email = :email');
  $stmt->bindParam(':email', $usuario);

  if($stmt->execute()) {
    while($user = $stmt->fetch(PDO::FETCH_ASSOC)) {
      if(password_verify($pass, $user['senha'])) {
         echo 'success';
       }
     }
  }
}

因此，如果要添加用户，则应将散列的密码存储在数据库中，此功能才能起作用：

if((!empty($_POST['txt_usuario'])) && (!empty($_POST['txt_senha']))) {
  $usuario = $_POST['txt_usuario'];
  $pass = $_POST['txt_senha'];

  $hashedPassword = password_hash($pass, PASSWORD_DEFAULT);

  $conn = Database::connectPDO();
  $stmt = $conn->prepare('INSERT INTO tbl_Usuario (email, senha) VALUES (:email, : senha)');
  $stmt->bindParam(':email', $usuario);
  $stmt->bindParam(':senha', $hashedPassword);

  if($stmt->execute()) {
    echo 'successfully registered';
  }
}