У меня проблема с myshl/php hash (sha1)

Question

У меня есть проблема с входом в систему с использованием пароля, который хэшируется в базе данных. Мой текущий скрипт просто сообщает мне сообщение «плохой пароль», даже когда оно правильно.

$s = $mysqli->query("SELECT * FROM `users` WHERE email`='".$_POST['email']."'") or die(); 
$i = $s->fetch_assoc(); 
if($_POST['password'] == sha1($i['password'])) { 
echo "works"; 
} else { 
    echo "bad password"; 
} 

Answer 1

Вы делаете это неправильно. Пароль базы данных уже хэшируютсяЯ надеюсь но пользователь вводит простой текстовый пароль, так что вам нужно хэширования, что входит пользователь и посмотреть, если это соответствует хэш у вас есть в базе данных

$s = $mysqli->query("SELECT * FROM `users` WHERE `email`='{$_POST['email']}'") or die(); 
$i = $s->fetch_assoc(); 
if(sha1($_POST['password']) == $i['password']) { 
    echo "works"; 
} else { 
    echo "bad password"; 
} 

Однако

Пожалуйста, не ролла своего собственного хэширования паролей. PHP предоставляет password_hash() и password_verify(), пожалуйста, используйте их, я мог бы использовать ваш сайт один день А вот некоторые good ideas about passwords Если вы используете PHP версии до 5,5 there is a compatibility pack available here

Также

Ваш скрипт находится под угрозой SQL Injection Attack Посмотрите, что произошло с Little Bobby Tables Даже if you are escaping inputs, its not safe! Использование prepared statement and parameterized statements

Answer 2

Вот пример того, как можно проверить ша с MySQL безопасно.

<?php 
    // Basic php MYSQL authentication with crypted password 

    $username = $_POST['username']; 
    $password = $_POST['password']; 
    $salt = "CrazyassLongSALTThatMakesYourUsersPasswordVeryLong123!!312567__asdSdas"; 
    $password = hash('sha256', $salt.$password); 
    //echo $password; 

    // Mysql connection 
    $mysqli = new mysqli("localhost","mysqluser","mysqlpassword","mysqldatabase"); 
    $stmt = $mysqli->prepare('SELECT userid FROM Users WHERE password = ? AND username = ?'); 
    // (ss -> string, string) Always bind parameters and use prepared statement to improve security 
    $stmt->bind_param("ss", $password, $username); 
    $stmt->execute(); 
    $stmt->bind_result($userid); 

    if (!empty($stmt->fetch())) { 
    // if fetch is not empty we have results and password hash was correct 
    echo "User was found"; 
    } else 
    echo "User was not found"; 

$mysqli->close(); 
?>