Problemas con login orientado a objetos

[jc1992]

Buenas a todos !

He conseguido entender un poco el MVC y ahora he conseguido hacer un registro , modificar , eliminar y consulta.

Ahora estoy en un pequeño problema y es que no consigo hacer la validacion del usuario.

Código PHP:

  public function login($usuari){
        $nombre = $usuari->getEmail();
        $password = $usuari->getPassword() ;
        $query = "SELECT *FROM users WHERE email='".$nombre."' AND password='".$password."'";
$con = new mysqldb();        
        $con->consulta($query);    
        echo $query;         
    } 
   

La consulta se realiza correctamente , pero la comprovacion no por donde empezar.

[arcanisgk122]

como sabes que la consulta es correcta por pueba puedes imprimir el valor introducido y por texto y el valor que obtienes de la base de datos...

[jc1992]

Hola a todos , he conseguido realizar el login correspondiente y he estado investigando en temas de seguridad y contraseñas.

De momento al hacer el registro utilizo crypt con Blowfish (es lo que he visto por aqui recomendado) y ahora llega mi dilema , ¿ como puedo hacer para comprobar la contrasseña de la base de datos ?

if(mysql_num_rows( $res ) == 0 ){
// si es 0 filas, no hay usuario o password valido
echo "No";
return 0;
}else{
// de lo contrario se guarda en un arrar lo que devuelve la consulta
if( $reg = mysql_fetch_array( $res ) ){
echo "Si";
// se devuelve 1 para indicar que se logueo exitosamente
return 1;

}
}

Y tengo este ejemplo para comprobarlo , pero no entiendo que hacer el $passwordenBD allí.

$passwordenBD = '$2a$07$yMoJrJpwEPrmVnZx4KIyNuOAiOMQksjkV1EW0YRgVe 33eYe/yT60y';
if( crypt('micontraseña', $passwordenBD) == $passwordenBD) {
echo 'Es igual';
}

No lo consigo configurar para que me acceda a la base de datos ! Saludos y gracias :D

[arcanisgk122]

ok si no lo hiciste tu estas en problemas, lo mejor es hacer y aprender...

te lo explico asi:


cuando usas haces un sistema de loggin y usas un sistema de base de datos la idea es la siguiente:

al registrar el usuario cojes la informacion basica nombre de usuario y contraselas

digamos que la contraseña es 123456, bueno no puedes guardar esto asi en tu base de datos por que seria muy facil de adivinar, para ese caso entonces se usa algo llamado salt o semilla.

salt o semilla es un complemento a la contraseña para hacer la robusta sin cambiar la contraseña del usuario

Código PHP:

$salt= "12986438517624jkshdfvgbuaysd98127634hjd";
$Password = $POST[Password];
 

hora de encriptar:

Código PHP:

key=cript(hash, $salt.$Password)
 

guardas en la base de datos.

luego para el loggin haces lo mismo pero solo comparas

si la semilla+pasword escrito concuerda con el password guardado.

[jc1992]

Buenas de nuevo y gracias por responder , entonces que antes de hacer el login tengo k obtener el password encriptado y luego realizar la consulta no?

Verás

public function login($llibre){
//recogemos las variables post del formulario
$nombre = $llibre->getEmail();
$password = $llibre->getPassword() ;
$segura =crypt( $password, salt);
//realizamos la consulta sql
$query = "SELECT *FROM users WHERE email='".$nombre."' AND password='".$segura."'";
//ejecutamos la consulta y guardamos el resultado en la variable resultado
$con = new mysqldb();
$con->consulta($query);
echo $query;
// se ejectua la consulta y se usa el metodo con de la clase class para la conexion, y se guarda en $res lo que devuelve la consulta
$res=mysql_query( $query, Conectar::con() );
$salt= "12986438517624jkshdfvgbuaysd98127634hjd";
if(crypt(salt.$segura)==salt.$segura) {
echo 'Es igual';
}else{
echo "Es diferente";
}

Lo mejor dentro de lo malo es que la consulta que visualizo , el password que se identifica es igual al password que hay dentro de la base de datos , así que supongo que lo que está mal es el comprobante, llevo tiempo dando vueltas a la cabeza y no consigo sacarlo.

Saludos!

[arcanisgk122]

repitamos esto es cuestión de detectar el problema:
1. si ves que no te funciona entonces imprime las variables paso a paso:

echo $nombre "<br>";
echo $password"<br>";
echo $salt "<br>";
echo $segura "<br>";

2. Error en esta linea: Salt no es una variable?? $

Código PHP:

$segura =crypt( $password, salt);
 

3. el orden es muy importante:

Código PHP:

public function login($llibre){
//primero se declaran las variables internas preferiblemente Privadas para la funcion publica
private $salt="12986438517624jkshdfvgbuaysd98127634hjd":
//recogemos las variables post del formulario
$nombre = $llibre->getEmail();
$password = $llibre->getPassword() ;
$segura =crypt(/*aquicolocas el hash de encriptar*/, $password.$salt);
//realizamos la consulta sql
$query = "SELECT * FROM users WHERE email='$nombre' AND password='$segura'"; //las variables usadas en el where combienen meterlas en comillas simples
//ejecutamos la consulta y guardamos el resultado en la variable resultado
$con = new mysqldb();   
$con->consulta($query); 
//IMPORTANTE estas buscando * (Toda la informacion de un usuario) esto es un array verdad entonces donde lo guardas??
echo $query; // no puedes imprimir un array asi
// se ejectua la consulta y se usa el metodo con de la clase class para la conexion, y se guarda en $res lo que devuelve la consulta 
$res=mysql_query( $query, Conectar::con() ); //esto te devuelve el array??
 
//La comparacion para el loggin es
 
if($segura==$row[contraseña de la base de datos]) {
echo 'Es igual';
}else{
echo "Es diferente";
}
/*--------------Revisa las malas practicas--------------------*/
 
if(crypt(salt.$segura)==salt.$segura) {
echo 'Es igual';
}else{
echo "Es diferente";
}
 

PD: estoy trabajando en un sistema de loggin similar

[xSkArx]

Como consejo, si estas usando poo es mejor que uses PdO o mysqli

[jc1992]

Hola a todos ! Si XsKarx

Lo que quiero comprobar es que me verifique la contrassenya , por supuesto , tengo pensado adaptarlo a mysqli (ya que es similar a mysql)y añadirle seguridad en los formularios (SQL Injections y XSS)

Pero poco a poco , primero con los conocimiento que tengo y luego ya iré modificando más , de momento eso.

Ahora lo pruebo todo !

[jc1992]

Buenas de nuevo , expondré mi código haber si me podeis ayudar con la identificadion de este tipo de claves.

Cuando hago el registro , este es la eencriptacion que hago

<?php
function crypt_blowfish_bydinvader($password, $digito = 7) {
$set_salt = './1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmn opqrstuvwxyz';
$salt = sprintf('$2a$%02d$', $digito);
for($i = 0; $i < 22; $i++){
$salt .= $set_salt[mt_rand(0, 63)];
}
return crypt($password, $salt);
}
?>

Extraído de aquí http://www.dinvaders.com/como-encrip...guras-con-php/

Entonces el registro se inserta de una forma similar a este string.

$2a$07$JKNPc2jRrRg24kh4PHPBOuGBpctJFrZ5l2z/t45aSCUiEiId1rTya

$2a$07$wPjnquOqu6aQrH1wNWV4IuwCWueEo2/OV7nL2OJ/f9nKQk049qpxu

Vale ? Hasta ahi bien , ahora llega el momento del login.

Me falla en ese instante ... me funciona sin la encriptacion, pero encriptado no.

public function login($usuari){
//recogemos las variables post del formulario
$email = $usuari->getEmail();
$password = $usuari->getPassword() ;
$segura =crypt(crypt, $password);
//realizamos la consulta sql
$query = "SELECT *FROM users WHERE email='".$email."' AND password='".$segura."'";
$password="SELECT password FROM users WHERE email = '".$email."'";
//ejecutamos la consulta y guardamos el resultado en la variable resultado
$con = new mysqldb();
$con->consulta($query);
echo $query;
$passwordenBD = '$2a$07$yMoJrJpwEPrmVnZx4KIyNuOAiOMQksjkV1EW0YRgVe 33eYe/yT60y';
// se ejectua la consulta y se usa el metodo con de la clase class para la conexion, y se guarda en $res lo que devuelve la consulta
$res=mysql_query( $query, Conectar::con() );
if($segura==$row['password']) {
echo 'A';
}else{
echo "B";
}
}

[arcanisgk122]

mira estas haciendo las cosas al reves... nisiquiera viste el codigo que te deje.. nisiquieras dices que error te manda... nisiquiera prestas atencion... is vas por internet y cojes un codigo al azar y no te funciona es por que no lo estas implementando correctamente... no te puedo ayudar mas. si no usas el ejemplo que te di.


ORGANISA TU CODIGO... estas haciendo las cosas alreves.. eso es todo

[jc1992]

Buenas y perdón por las molestias , cuando te refieres /**Aqui va el has a encriptar */ a que te refieres?entiendo todo lo que has escrito y he quitado el array. He estado informandome y leyendo otros articulos y ahora lo veo más claro.

Pero la parte esa el hash que utilizas no es crypt? No lo utilizas ya anteriormente ? , me refiero a la linia siguiente :

$segura =crypt(/*aquicolocas el hash de encriptar*/, $password.$salt);

public function login($llibre){
//*recogemos las variables post del formulario
$passwordenBD = '$2a$07$yMoJrJpwEPrmVnZx4KIyNuOAiOMQksjkV1EW0YRgVe 33eYe/yT60y';
$email = $llibre->getEmail();
$password = $llibre->getPassword() ;
$segura = crypt(/** colocas el hash a encriptar */,$password.$passwordenBD);
$query = "SELECT * FROM users WHERE email='$email' AND password='$segura'";
echo $query;
echo "<br>";
echo $segura;
$con = new mysqldb();
$con->consulta($query);
if(crypt($salt.$segura==$row['password'])){
echo "Si";
}else{
echo "No";
}

}

[arcanisgk122]

bueno te lo dejo asi:

Código PHP:

return crypt($input, sprintf([B]'$2a$%02d$'[/B] /*este es el hash que usas para encriptar*/, $pasword . $salt);
 

en otros claso tendrias que escribir sha-512 por ejemeplo... era a lo que me referia...

[jc1992]

Revivo el mismo tema porque he vuelto a empezar el login y esta vez lo he hecho desde 0 y lo entiendo perfectamente.

Pero hay en error que me dice : You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '1' at line 1

Pero luego ejecuto la consulta correctamente en la base de datos, así que ahro estoy atascado aquí.

public function login($usuario) {
$nif = $usuario->getNif();
$nombre = $usuario->getNom();
$query="SELECT * FROM users where email='$nif' and password='$nombre'";
echo $query;
/*$resultado = mysql_query($query);
$row = mysql_fetch_assoc($query);*/
$con = new mysqldb();
$con->connect();
$conexion = $con->proyecto($query);
$busqueda = mysql_query($conexion) or die("Error en: $query " . mysql_error());;
if($row=mysql_fetch_array($busqueda)){
echo "Bienvenido $nif $nombre";
}else{
echo "No ha iniciado la sesión correctamente";
}


}

Saludos!

[arcanisgk122]

el error que te da es un error de sintaxys de mySQL, no del php que muestras. pon la estructura de la tabla

[jc1992]

La respectiva consulta me la realiza bien en la base de datos, por eso me extraña que sea error de sintaxis , ahora muestro la tabla

[arcanisgk122]

no me muestres la base de datos necesito es la estructura el back up que muestra las key y demas...

este error es de mysql no de php:

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '1' at line 1

[jc1992]

Buenas otra vez !!

Así que quieres un backup de la tabla correspondiente? , este es el export de la tabla correspondiente ya que no tiene ninguna FK con ninguna otra tabla ni nada por el estilo.

Código MySQL:

CREATE TABLE IF NOT EXISTS `users` (
  `id_usuario` int(2) NOT NULL AUTO_INCREMENT,
  `email` varchar(600) NOT NULL,
  `password` mediumtext NOT NULL,
  PRIMARY KEY (`id_usuario`)
) ENGINE=InnoDB  DEFAULT CHARSET=latin1 AUTO_INCREMENT=90 ;
 

[arcanisgk122]

aunque no creo que sea eso, pero cambia la password mediumtext a TEXT

en esta seccion del codigo:

Código PHP:

$con = new mysqldb();   
$con->connect();
$conexion = $con->proyecto($query);
$busqueda = mysql_query($conexion) or die("Error en: $query " . mysql_error());;
 

la conexion se realiza correctamente???


que te sale si imprimes los valores de :

Código PHP:

'$nif' and password='$nombre'
 

mandalos a imprimir por pantalla a penas los recibes...

[jc1992]

La consulta se ejecuta correctamente , el echo que hago siempre de prueba para probarlo , esa consulta la copio y se realiza en la base de datos.

[arcanisgk122]

ok solo hay algo que no veo... de donde obtienes o sacas el usuario contraseña y host y nombre de la base de datos?

[arcanisgk122]

yo hago esto:

Funciones GENERALES

Código PHP:

///////////////////////////////////////////////////////////////////////////
function error($dblink){ die ('Error de Conexión a la base de Datos. '.mysqli_error($dblink)); }//funcion Error php
///////////////////////////////////////////////////////////////////////////
function conexion(){//Coneccion a la base de datos
    $servidor   = 'localhost';
    $usuario    = 'root';
    $clave      = 'clave';
    $basedatos  = 'dbname';
    $dblink = mysqli_connect($servidor, $usuario, $clave);
    $selected = mysqli_select_db($dblink,$basedatos);
    if (!$selected) { error($dblink); }
    $dblink->query("SET NAMES 'utf8'");
    return $dblink;
}
///////////////////////////////////////////////////////////////////////////
function desconexion($dblink){//Desconexión base de datos
    mysqli_close($dblink);
}
///////////////////////////////////////////////////////////////////////////
function filtro($sql){//busquedas en la BD
    $dblink=conexion();
    $datos = mysqli_query($dblink,$sql) or error($dblink);
    desconexion($dblink);
    return $datos;
}
///////////////////////////////////////////////////////////////////////////
function proximo($datos){//ordenar busquedas
    $arreglo = mysqli_fetch_array($datos);
    return $arreglo;
}
///////////////////////////////////////////////////////////////////////////
 

Consulta PHP

Código PHP:

$sql="SELECT username,password FROM usuarios WHERE username = '$username'";
$datos = filtro($sql);//ejecuto consulta
$row = proximo($datos);//ejecuto el arreglo de la consulta anterior
 

[jc1992]

Buenas y gracias , he adaptado tu código..quieres saber de donde saco la conexión? Hago un required de del archivo siguiente.

Probando el tuyo , no me da ningún error , pero no me dice si ha iniciado o no la ha iniciado, hay que indicar con algún return ese dicho suceso ?

Cabe decir que de lo que me has pasado hago un require

Código PHP:

require_once("interface_db.php");
class mysqldb implements interface_db{
    private $server;
    private $username;
    private $password;
    private $dbname;
    private $link;
    
      public function __construct(){
        $this->setServer('localhost');
        $this->setUsername('usuario');
        $this->setPassword('usuario');      
    }
        
    public function getServer(){
        return $this->server;
    }
 
    public function setServer($value){
        $this->server = 'localhost';
    }
    
    public function getUsername(){
        return $this->username;
    }
 
    public function setUsername($value){
        $this->username = 'usuario';
    }
    
    public function getPassword(){
        return $this->password;
    }
 
    public function setPassword($value){
        $this->password = 'usuario';
    }
    
    public function getDbname(){
        return $this->dbname;
    }
 
    public function setDbname($value){
        $this->dbname = $value;
    }
    
    public function connect()   {
    
        $this->link=mysql_connect($this->getServer(),$this->getUsername(),$this->getPassword());            
        if (!$this->link) {
            die('Error, could not connect: ' . mysql_error());
        }               
        return $this->link;
    }
    
    public function bd($database){
        $this->dbname = mysql_select_db('projecte', $this->link);
        if (!$this->dbname) {
            die ('Error, can\'t use database: ' . mysql_error());
        }
    }
    /**Cerrar conexión**/
    public function close() {
        return mysql_close($this->link);
    }
    /**Retornar mensaje de error**/
    public function error() {
        return mysql_error($this->link);
    }
    /**Devolver mensaje numérico**/
    public function errno(){
      $error2 = mysql_errno($this->link);
      return $error2;
      
   }
 
    public function projecte($query){       
        $con= $this->connect();
        $this->bd('projecte');
        return mysql_query($query, $con) or die('Hola k ase : '.$this->error());
    } 
    
    
}
 

[arcanisgk122]

normalmente cuando hago un loggin y es correcto lo puedes guardar o en una cookies o una variable de sesiion

Código PHP:

$_SESSION['Logueado']="si"
 

luego cuando sea necesario saber si nicio sesion preguntas si la variable existe y si su valor es = a si...

otro consejo:

Código PHP:

public function getServer(){
        return $this->server;
    }
 
    public function setServer($value){
        $this->server = 'localhost';
    }
    
    public function getUsername(){
        return $this->username;
    }
 
    public function setUsername($value){
        $this->username = 'usuario';
    }
 

como que hace el codigo molesto... no puedes crear una solo funcion publica que reja los get que vienen ??? y los filtre limpie y zanitice???