PHP и SQlite: Логин

Question

Мне нужно создать форму входа в систему с помощью PHP SQlite. Регистрация работает, и я могу выбрать всех созданных пользователей и повторить их. Когда я пытаюсь проверить, совпадают ли имя пользователя и пароль, которые я получаю от $ _POST, он повторяет, что я вошел в систему сейчас. Но когда я печатаю в неверном пользователя/PW, он повторяет «недопустимый» -string, но есть также следующее сообщение об ошибке:

Notice: Undefined variable: row in D:\xampp\htdocs\phpProjektSnippets\blogLogin.php on line 17 

Line 17, где у меня есть, если ($ ряду [ 'имя пользователя «] ...

Это мой код:

$db = new PDO('sqlite:mysqlitedb.db'); 
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 

$username = $_POST['username']; 
$password = $_POST['password']; 

$sql = "SELECT * FROM users WHERE user_name = :name AND user_password = :pass"; 
$statement = $db->prepare($sql); 
$statement->execute(array('name' => $username, 'pass' => $password)); 

try { 
    $statement = $db->prepare($sql); 
    $statement->execute(array('name' => $username, 'pass' => $password)); 

    foreach ($statement as $row); 

    if ($row['user_name'] == $username && $row['user_password'] == $password){ 
     echo "Welcome " .$row['user_name']. ", You are now logged in.<br/ >"; 
    }else{ 
     echo "User Name or Password is invalid"; 
    } 
} 
catch(PDOException $e) { 
    echo "Something went wrong: ".$e->getMessage(); 
} 

что случилось здесь

Answer 1

Прежде всего, вы не должны использовать запрос SQL, который выглядит, как ваша Она уязвима для. SQL-инъекции и тем самым небезопасно!

Пожалуйста, ознакомьтесь с ответами на How can I prevent SQL-Injection in PHP за некоторыми очень полезными советами о том, как это сделать правильно.

Проблема заключается в том, что вы добавляете к строке SQL все, что пользователь отправляет на сервер - это может быть вредоносный код, который дает злоумышленнику доступ к вашей базе данных или удаляет данные или другие плохие вещи. См. Ссылку выше для получения дополнительной информации.

В вашем случае код будет выглядеть следующим образом:

<?php 
    $db = new PDO('sqlite:mysqlitedb.db'); 
    $db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 

    $username = $_POST['username']; 
    $password = md5($_POST['password']); 

    $sql = "SELECT * FROM users WHERE user_name = :name "; 

    try { 
     $statement = $db->prepare($sql); 
     $statement->execute(array('name' => $username)); 

     foreach ($statement as $row){ 
      echo $row['user_name'] . '<br />'; 
     } 
    } 
    catch(PDOException $e) { 
     echo "Something went wrong: ".$e->getMessage(); 
    } 
?> 

Edit: Поскольку вы настроили PDO с $db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION) бросать исключения в случае ошибки, вы также должны поймать их. Я добавил код try/catch.

Answer 2

Добавляя к Гексахолическому ответу и следуя вашему вопросу.

Эта линия поймать ваш код ошибки

catch(PDOException $e) { 
    echo "Something went wrong: ".$e->getMessage(); 
} 

Если вы хотите, чтобы написать сообщение об ошибке в случае неверной идентификационной информации пользователя, использование если так ... еще ... заявление.

if(some argument){ 
    //do something if the argument result is true; 
    }else{ 
    do something if the argument is not true;} 

Таким образом, ваш код должен быть примерно таким.

<?php 
$db = new PDO('sqlite:mysqlitedb.db'); 
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 
$username = $_POST['username']; 
$password = $_POST['password']; 
$sql = "SELECT * FROM users WHERE user_name = :name AND user_password = :pass"; 

try { 
    $statement = $db->prepare($sql); 
    $statement->execute(array('name' => $username, 'pass' => $password)); 
    $row = $statement->fetch(); 
     if ($row['user_name'] == $username && $row['user_password'] == $password){ 
      echo "Welcome " .$row['user_name']. ", You are now logged in.<br/ >"; 
     }else{ 
      echo "User Name or Password is invalid"; 
     }   
} 
catch(PDOException $e) { 
    echo "Something went wrong: ".$e->getMessage(); 
} 
?> 

И если это работает, не забудьте исправить проблему с хешированием.

Может быть, эта картина может лучше помочь вам понять, для вышеприведенного

Неправильный вывод пароля кода.

Правильный вывод пароля.

Answer 3

Проблемы есть с точкой с запятой в этой строке: foreach ($statement as $row);

Foreach просто ничего не делает, а не последующий if.