php password check with hash не работает

Question

Я пишу страницу входа и страницу проверки на php. На моей локальной машине это работает, но на сервере это не так (если это важно, я нахожусь на Windows, а сервер на Linux).

Вот код на странице проверки:

$user = $_POST['userName']; 
$pass = $_POST['pass']; 

$saltSQL = 'SELECT salt FROM agents WHERE name="' . $user . '"'; 
$saltResult = mysql_fetch_array(mysql_query($saltSQL)); 
$salt = $saltResult['salt']; 

$passToCheck = hash('sha512', $salt + $pass); 

$rowAgent = mysql_fetch_array(mysql_query('SELECT * FROM agents WHERE name ="' . strtolower($user) . '"')); 

if ($rowAgent['password'] != $passToCheck) { 
    header("location:mainLogin.php"); 
    exit; 
} 

header("location:selectamount_new.php"); 

Самое странное в том, что когда я ввожу что-то с буквами на ввод пароля система пусть мой ин (независимо от того, что), и когда я вхожу просто цифры система будет правильно проверять пароль и не позволит мне (перенаправит меня на mainLogin.php, а не на selectamount_new.php).

Снова на моей локальной машине все работает отлично, проблема в том, что когда я нажимаю код на Linux-машину (AWS) с Git.

Answer 1

Проблема в $salt + $pass. Это не конкатенация, это + оператор, как в математике. Итак, string + string = nothing, это означает, что каждый пароль будет соответствовать. number + string = number, вот почему с цифрами это работает. Вы должны использовать здесь оператора ., что означает конкатенацию.

В любом случае, если вы не доказали, что SQL-инъекция, каждый сможет зарегистрироваться на вашем сайте, независимо от этого исправления.