[SOLUCIONADO] Problema al comparar contraseñas con crypt()

[NueveReinas]

Iniciado por hhs

Primero antes de usar una función lee el manual, cuando tu utilizar crypt sin salto va utilizar un algoritmo por default por lo cual no sabes de que longitud sera la cadena resultante. Así que lo primero a cambiar es que aceptes mas de 25 caracteres. Cámbialo a 255 y prueba de nuevo

Correcto, esta vez me re-registré y me generó una contraseña de mayor caracteres. Gracias.

Pero sigue sin reconocerme las contraseñas en el login.

[hhs]

debes de aislar el problema, así que verifica que puedas hacer login sin utilizar la base de datos.

[NueveReinas]

Iniciado por hhs

debes de aislar el problema, así que verifica que puedas hacer login sin utilizar la base de datos.

Imagino que te refieres a algo así.

Código PHP:

$email = '[email protected]';
$pass = 'minuevapassword';
$passwordDB = crypt($pass);
 
if(password_verify($pass, $passwordDB)){
// Se inicia la sesión
    $_SESSION['usuario'] = $datos['email'];
    $_SESSION['estado'] = 'Autenticado';
    $incorrecto = "Estás conectado/a como <strong>".$email."</strong> <br><br> <a href='http://www.ejemplo.com/BD/inicio'>Ir al inicio</a>";
    //$stm = $connection->prepare("UPDATE usuarios SET ip_ultima='$ip' WHERE email='$email' ");
    //$stm->execute();
}else{
    $incorrecto = "El mail o la contraseña son incorrectos. <br> <a href='javascript:history.back()'>Volver y corregir</a>";
};
 

Y este es el resultado; sí puedo loguearme.

[hhs]

Ok, ahora para los mismo datos conocidos intenta hacer el login utilizando la base de datos y manda los resultados

[NueveReinas]

Iniciado por hhs

Ok, ahora para los mismo datos conocidos intenta hacer el login utilizando la base de datos y manda los resultados

Correcto.

Creé desde PHPMyAdmin un nuevo "usuario" donde el mail era "[email protected]" y la contraseña era "minuevapassword" pero encriptada.
De vuelta a la web, ingeresé ese mail y esa contraseña (sin encriptar), y me lo dio por válido.

Pero ahora he añadido comprobaciones de mail y password que NO me permiten ingresar si la contraseña no es la misma que en la BD (encriptada).

Código PHP:

//Conecta a la BD y selecciona mail y contraseña
$consulta = "SELECT * FROM usuarios WHERE email = '$email' AND password = '$pass' ";
 
$resultado = mysqli_query($connection, $consulta) or die(mysql_error());
$datos = mysqli_fetch_array($resultado);
 
$passwordDB = crypt($pass);
if($datos['email'] == $email and password_verify($pass, $passwordDB)){
// Se inicia la sesión
    $_SESSION['usuario'] = $datos['email'];
    $_SESSION['estado'] = 'Autenticado';
    $mensaje_login = "Estás conectado/a como <strong>".$email."</strong> <br><br> <a href='http://www.ejemplo.com/BD/inicio'>Ir al inicio</a>";
    $stm = $connection->prepare("UPDATE usuarios SET ip_ultima='$ip' WHERE email='$email' ");
    $stm->execute();
} else if ($datos['email'] != $email || $datos['email'] == "" || password_verify($pass, $passwordDB) != $passwordDB )
{
    $mensaje_login = "El mail o la contraseña son incorrectos. <br> <a href='javascript:history.back()'>Volver y corregir</a>";
};
 

Si en la consulta lo dejo así:

Código PHP:

$consulta = "SELECT * FROM usuarios WHERE email = '$email' ";
 

Literalmente te deja entrar sin filtros hayas escrito o no un mail y/o una contraseña.

[hhs]

Eso es normal por que tienes un error de lógica, estas utilizando la ontraseña que te envia el formulario para validar y esa siempre es igual. En otras palabras no estas comparando lo que te envían contra lo que tienes en la base de datos (email es el único que evaluas)

[NueveReinas]

Iniciado por hhs

Eso es normal por que tienes un error de lógica, estas utilizando la ontraseña que te envia el formulario para validar y esa siempre es igual. En otras palabras no estas comparando lo que te envían contra lo que tienes en la base de datos (email es el único que evaluas)

Entonces busco la contraseña en la BD...

Código PHP:

//Conecta a la BD y selecciona mail y contraseña
$consulta = "SELECT * FROM usuarios WHERE email = '$email' and password='$pass'";
 
$resultado = mysqli_query($connection, $consulta) or die(mysql_error());
$datos = mysqli_fetch_array($resultado);
 
$passwrd = $datos['password'];
 
$passwordDB = crypt($pass);
if($datos['email'] == $email and password_verify($pass, $passwordDB)==$passwrd ){
// Se inicia la sesión
    $_SESSION['usuario'] = $datos['email'];
    $_SESSION['estado'] = 'Autenticado';
    $mensaje_login = "Estás conectado/a como <strong>".$email."</strong> <br><br> <a href='http://www.ejemplo.com/BD/inicio'>Ir al inicio</a>";
    $stm = $connection->prepare("UPDATE usuarios SET ip_ultima='$ip' WHERE email='$email' ");
    $stm->execute();
} else if ($datos['email'] != $email || $datos['email'] == "" || $pass == "" ||!password_verify($pass, $passwordDB) )
{
    $mensaje_login = "El mail o la contraseña son incorrectos. <br> <a href='javascript:history.back()'>Volver y corregir</a>";
};
 

Pero aunque sea exactamente igual que la de la BD no me la da por válido.

Ay.

[hhs]

Por que sigues cometiendo errores de lógica, lee el manual para que entiendas como funciona password_verify
http://php.net/manual/es/function.password-verify.php

[NueveReinas]

Iniciado por hhs

Por que sigues cometiendo errores de lógica, lee el manual para que entiendas como funciona password_verify
http://php.net/manual/es/function.password-verify.php

Curioso. No me devuelve los valores de consulta.

Código PHP:

$consulta = "SELECT * FROM usuarios WHERE email = '$email' and password = '$pass' ";
 
$resultado = mysqli_query($connection, $consulta) or die(mysql_error());
$datos = mysqli_fetch_array($resultado);
 
$mail = $datos['email'];
$passwrd = $datos['password'];
 

Cuando paso $mail o $passwrd a un 'echo' en HTML no me aparece ninguna información.

Código HTML:

<p>email: <?php echo $mail ?></p>
<p>pass: <?php echo $pass ?></p>
<p>passwrd: <?php echo $passwrd ?></p>
<p>passwordDB: <?php echo $passwordDB ?></p>
 

Código:

email: #sin información
pass: minuevapassword #la contraseña que escribí en el form.
passwrd: #sin información
passwordDB: $1$lr4vj0Lx$vFFDWpJC7hPzg2ZbVd3dm0 #encriptación de $pass

[NueveReinas]

Solucionado. Al final el problema era totalmente de la consulta.

Cuando esta era:

Código PHP:

$consulta = "SELECT * FROM usuarios WHERE email = '$email' and password = '$pass' ";
 

Tiene que ser:

Código PHP:

$consulta = "SELECT * FROM usuarios WHERE email = '$email' and password = password ";
 

Entonces...

Código PHP:

//Obtengo los datos del formulario
$email = $_POST["user"];
$pass = $_POST["pass"];
 
//Conecta a la BD y selecciona mail y contraseña
$consulta = "SELECT * FROM usuarios WHERE email = '$email' and password = password ";
 
$resultado = mysqli_query($connection, $consulta) or die(mysql_error());
$datos = mysqli_fetch_array($resultado);
 
$passwrd = $datos['password'];
 
$passwordDB = crypt($pass);
 
$hola = "";
 
if($datos['email'] == $email and password_verify($pass, $passwrd)){
// Se inicia la sesión
    $_SESSION['usuario'] = $datos['email'];
    $_SESSION['estado'] = 'Autenticado';
    $mensaje_login = "Estás conectado/a como <strong>".$email."</strong> <br><br> <a href='http://www.ejemplo.com/BD/inicio'>Ir al inicio</a>";
    $stm = $connection->prepare("UPDATE usuarios SET ip_ultima='$ip' WHERE email='$email' ");
    $stm->execute();
} else if ( $datos['email'] != $email || $datos['email'] == "" || $pass == "" ||!password_verify($pass, $passwrd) )
{
    $mensaje_login = "El mail o la contraseña son incorrectos. <br> <a href='javascript:history.back()'>Volver y corregir</a>";
};
 

[hhs]

Excelente, procura darle solucionado al tema

[NueveReinas]

Iniciado por hhs

Excelente, procura darle solucionado al tema

Sí, sí. Muchas gracias a todos por la paciencia. Sois los mejores.

Aunque ahora me queda por solucionar porqué no se me mantienen las sesiones aquí.