Изменить пароль в PHP

У меня есть скрипт смены пароля в PHP, и я хочу сделать, это взять переменные из предыдущего экрана, которые пользователь вводит, а затем сравнить их с mysql db. Если старый пароль не соответствует тому, что они вставляют, я хочу, чтобы он завершился с ошибкой. Это код, который у меня есть до сих пор. Но я знаю, что сравнение строки с переменной не будет работать, но нужно знать, как их преобразовать, чтобы они могли сравнивать. Ниже приведена страница.Изменить пароль в PHP

Пароли в настоящее время хранятся в Plain txt на db, но позже будут изменены на md5. Вопрос в том, как сравнить введенное значение со значением, вырванным из db?

<html> 
<head> 
<title>Password Change</title> 
</head> 
<body> 

<?php 

mysql_connect("localhost", "kb1", "BajyXhbRAWSVKPsA") or die(mysql_error()); 
mysql_select_db("kb1") or die(mysql_error()); 

    $todo=mysql_real_escape_string($_POST['todo']); 
    $username=mysql_real_escape_string($_POST['userid']); 
    $password=mysql_real_escape_string($_POST['password']); 
    $password2=mysql_real_escape_string($_POST['password2']); 
    $oldpass=mysql_real_escape_string($_POST['oldpass']); 

///////////////////////// 

if(isset($todo) and $todo == "change-password"){ 
//Setting flags for checking 
$status = "OK"; 
$msg=""; 

//MYSQL query to pull the current password from the database and store it in $q1 

$results = mysql_query("SELECT password FROM kb_users WHERE username = '$username'") or    die(mysql_error()); 
$q1 = mysql_fetch_array($results); 
//print_r($q1) 


//changing the string $oldpass to using the str_split which converts a string to an  array. 

//$oldpass1 = str_split($oldpass,10); 

if(!$q1) 

    { 
     echo "The username <b>$username</b> does not exist in the database. Please   click the retry button to attempt changing the password again. <BR><BR><font face='Verdana'  size='2' color=red>$msg</font><br><center><input type='button' value='Retry'  onClick='history.go(-1)'></center>"; die(); 
    } 

if ($oldpass == $q1){ 

$msg = $msg. "The provided password <b>$oldpass</b> is not the same as what is in the  database. Please click the retry button to attempt changing the password again.<BR><br>"; 

$status = "NOTOK";} 
/* 
if ($q1 <> $oldpass1) {  
$msg = $msg. "The provided password <b>$oldpass</b> is not the same as what is in the  database. Please click the retry button to attempt changing the password again.<BR><br>"; 
$status = "NOTOK"; } 
*/ 

if (strlen($password) < 3 or strlen($password) > 10){ 
$msg=$msg. "Your new password must be more than 3 char legth and a maximum 10 char  length<BR><BR>"; 
$status= "NOTOK";}     

if ($password <> $password2){ 
$msg=$msg. "Both passwords are not matching<BR>"; 
$status= "NOTOK";}     


if($status<>"OK") 
    { 
     echo "<font face='Verdana' size='2' color=black>$msg</font><br><center> <input type='button' value='Retry' onClick='history.go(-1)'></center>"; 
    } 
     else { 
     // if all validations are passed. 

      if (mysql_query("UPDATE kb_users SET password='$password' where   username='$username'") or die(mysql_error())); 

       { 
        echo "<font face='Verdana' size='2' ><center>Thanks  <br> Your password has been changed successfully. Please keep changing your password for  better security</font></center>"; 
       } 
      } 
     } 


?>  
</body> 
</html>

источник

2012-03-23 mcj212

Ваш код подвержен http://en.wikipedia.org/wiki/SQL_injection –

Как вы хранить пароли в вашей БД? –

Это хорошо. Каков твой вопрос? Посмотрите на http://stackoverflow.com/questions/how-to-ask для руководства по заданию хороших (и ответных) вопросов. – Hamish

Прежде всего, не рекомендуется использовать данные POST непосредственно в ваш запрос. Сначала вам нужно избегать этих данных, чтобы избежать инъекций.

Кроме того, я думаю, что ваш способ использования if's - это не лучший способ. На мой взгляд, нет никакой переменной состояния. Это точно в этом случае. $status настроен на NOTOK перед тем, как вы проверите его значение. Поэтому всегда будет NOTOK, что приведет к тому, что ваш скрипт никогда не будет обновлять пароль.

Я изменил структуру ваших тестов на, на мой взгляд, лучший. Посмотрите, на что вы хотели бы протестировать, потому что теперь ваши тесты все перепутаны.

<html> 
<head> 
    <title>Password Change</title> 
</head> 

<body> 

    <?php 
     // MySQL connection details 

     $todo=mysql_real_escape_string($_POST['todo']); 
     $username=mysql_real_escape_string($_POST['userid']); 
     $password=mysql_real_escape_string($_POST['password']); 
     $password2=mysql_real_escape_string($_POST['password2']); 
     $oldpass=mysql_real_escape_string($_POST['oldpass']); 

     if(isset($todo) and $todo == "change-password"){ 

      $results = mysql_query("SELECT password FROM kb_users WHERE username = '$username'") or    die(mysql_error()); 
      $q1 = mysql_fetch_array($results); 

      if (!$q1) { 
       // The user does not exist in the database. 
      } 

      if ($oldpass == $q1) { 
       // The current password matches the input from the oldpass field. 

       if (strlen($password) > 3 or strlen($password) < 10) { 
        // Password meets requirements 
        if ($password == $password2) { 
         //Passwords match, update the password in the database 
        } 
        else { 
         // The new passwords do not match. 
        } 
       } 
       else { 
        // Password is too short/long 
       } 

      } 
     } 
    ?> 
</body>

источник

2012-03-24 00:07:58 Sander

Спасибо Sander Статус не обновляется до «NOTOK» перед обновлением пароля, если только два новых пароля не совпадают. Я проверил длину строки и соответствующий пароль. Проблема, с которой я столкнулась, заключается в том, что вытаскивание текущего пароля из db, а затем сравнение его со старым паролем, который вводит пользователь. Пароли хранятся в тексте Plain в db прямо сейчас, но будут изменены либо на хэш, либо на md5 позже. Так вот где проблема заключается в сравнении чего-то введенного с чем-то, вытащенного из db – mcj212

@ mcj212 Ах, подождите, мое плохое. Вы сравниваете массив со строкой прямо сейчас. Вы должны указать, какой элемент массива вы хотите сравнить. Для этого вы должны использовать '$ q1 ['field_name']'. Итак, в вашем случае '$ q1 ['password']'. – Sander

Изменить пароль в PHP

ответ

Смежные вопросы