Проверка пароля php form

Question

Здесь у меня есть код php, который позволяет мне обновлять информацию о пользователе в таблице моих учеников.

Я пытаюсь выяснить, как я могу проверить, может ли пароль для пользователя, который в настоящий момент вошел в систему, совпадать с паролем, хранящимся в базе данных, до того, как можно будет обновить информацию.

Answer 1

Как говорят другие, у вашего сценария есть куча дыр.

Предполагаете, что вы развиваетесь только для местных районов.

Если вы принимаете его на данном этапе, то наверняка у вас появятся проблемы с безопасностью.

Хорошо, на ваш вопрос.

Существует несколько способов проверки пользователя перед фиксацией обновления.

Например:

1. Put SQL условием при обновлении изменения

   if(isset($_POST['Update'])){ 
       $UpdateFName = $_POST['FirstName']; 
       $UpdateLName = $_POST['LastName'];   
       $UpdateEmail = $_POST['Email']; 
       $UpdateFPassword = $_POST['Password']; 
   
       $SQL = $conn->query("UPDATE students 
       SET FName='{$UpdateFName}',LName='{$UpdateLName}',Email='{$UpdateEmail}',Password='{$UpdateFPassword}' 
       WHERE UserID = $User and Password = '$_SESSION["PW"]' "); 
   
   header('Location:updateinfo.php'); 
   

   }

, если вы используете этот метод, если текущий пароль отличается паролем которые хранятся в db, те, которые редактируют sql, не будут выполняться, поскольку там, где условие недействительно

2. Сначала проверьте достоверность.

   if(isset($_POST['Update'])){ 
       $UpdateFName = $_POST['FirstName']; 
       $UpdateLName = $_POST['LastName'];   
       $UpdateEmail = $_POST['Email']; 
       $UpdateFPassword = $_POST['Password']; 
   
       $sqlValidate = $conn->query("SELECT * FROM students WHERE UserID ='$User' and Password='$_SESSION["PW"]' "); 
       $getUser = $sqlValidate -> fetch_array(MYSQLI_BOTH); 
   
       if($getUser['UserID'] != ''){ 
        $SQL = $conn->query("UPDATE students SET FName='{$UpdateFName}', LName='{$UpdateLName}', Email='{$UpdateEmail}', Password ='{$UpdateFPassword}' WHERE UserID = $User "); 
       }// end if 
   
   header('Location:updateinfo.php'); 
   

   }

вы можете прочитать http://php.net/manual/en/function.crypt.php для шифрования паролей.

Answer 2

Ваша форма в основном не имеет валидаций. Кроме того, есть возможности для инъекций SQL. подтвердите свое поле электронной почты перед отправкой. Попробуйте:

if(!filter_var($email_variable,FILTER_VALIDATE_EMAIL){ 
//throw some kind of exceptions or kill the process 
} 

Я также рекомендую использовать PDO, поскольку он поддерживает использование подготовленных операторов. Существует удивительная функция, которая может связыватьParam(), которая связывает ваши параметры.

TRY:

$DBH = new PDO("mysql:host=localhost;dbname=test", 'root', ''); 
     $DBH->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 
     $STH = $DBH->prepare("SELECT * FROM student_table WHERE studentID= :id"); 
     $id = 1; // here you should keep it as variable and pass it to param 
     $STH->bindParam(':id', $id, PDO::PARAM_STR); 
     $STH->execute(); 

     $STH->setFetchMode(PDO::FETCH_ASSOC); 

Кроме того, не публикуйте исходные пароли непосредственно в базе данных. Либо используйте встроенный алгоритм хэширования php, либо используйте некоторую функцию шифрования для их защиты.