2

Olá. Estou criando um sistema de login para fins de estudo.

Identifiquei no me arquivo que não esta populando o array com as informações do banco de dados... e sim, ja me certifiquei que o email e senha informados ja existe na base de dados.

Segue arquivo de login.php:

<?php

require_once 'init.php';

// resgata dados digitados no formulario
$email = isset($_POST['email']) ? $_POST['email']: '';
$senha = isset($_POST['senha']) ? $_POST['senha']: '';
// Cria o hash da senha
$seg_senha = password_hash($senha, PASSWORD_DEFAULT);

// Verifica se os campos do form nao estao vazios
if(empty($email) || empty($senha)){
    echo 'Informe Email e Senha';
    exit;
}

// Comando no banco de dados
$pdo = db_connect();    // Abre conexão com o banco

$sql = "SELECT id, nome FROM usuarios WHERE email = :email AND senha = :senha";
// Cria query

$stmt = $pdo->prepare($sql);    // Prepare da query

$stmt->bindParam(':email', $email);
// Atribui valor do campo email no valor email da query
$stmt->bindParam(':senha', $seg_senha);
// Atribui valor do campo senha no valor senha da query

$stmt->execute();   // Execute na query

$arr = $stmt->fetchAll(PDO::FETCH_ASSOC);   // Cria array associativo

if(count($arr) <= 0){   // Verifica se existe elemento no array
    echo "<script language='javascript' type='text/javascript'>alert('Login e/ou senha incorretos');window.location.href='../login.php';</script>";
    exit;
}

// Pega o primeiro usuario
$user = $arr[0];

// Inicia a sessão
session_start();
$_SESSION['logged_in'] = true;
$_SESSION['user_id'] = $user['id'];
$_SESSION['user_name'] = $user['nome'];

header('Location: ../index1.php');

Se eu comento da linha if(count($arr) <= 0){ para baixo, e coloco um var_dump($arr);abaixo de $arr = $stmt->fetchAll(PDO::FETCH_ASSOC); me retorna um array vazio

C:\wamp64\www\ProjetoALPHA\core\login.php:33:
array (size=0)
  empty

Alguém poderia me ajudar?

Grato!

8
  • 1
    Não modifique a pergunta respondida, senão invalide a resposta. Abaixo tem dois trechos diferentes, um pra detectar senha errada separada de usuário errado, que é melhor para você testar. O outro trecho é para avisar do login errado, melhor para o dia a dia. Não dá para misturar os dois, ou usa um ou usa o outro. A negação é para inverter o resultado do teste, então tem que usar de acordo com o que está dentro do if e do else. Na dúvida, use como está, e só ajuste depois de entender.
    – Largato
    Commented 9/01/2017 às 23:45
  • Da ultima vez, quando respondi pra você, você tinha colado um código no Pastebin que eu já apontei os erros e corrigi, o problema já era de você ter misturado coisas. Estamos aqui pra ajudar, mas se você conseguir acompanhar as explicações, fica mais fácil. Quanto a ter tirado a aceitação, se é por que o código não atendeu, direito seu, mas é uma coisa que desincentiva a gente ajudar aqui, pois se não funcionou depois de todo tempo que eu gastei com você, grande chance de você não ter prestado atenção no que foi explicado. Inclusive pq eu só sai depois de vc confirmar que estava ok.
    – Largato
    Commented 9/01/2017 às 23:47
  • Sendo assim, se tiver alguma coisa concreta que possa passar, que não funcionou no código abaixo, pode até acrescentar no final da sua pergunta, ou mesmo perguntar nos comentários. mas sem mudar a parte que foi respondida já, senão vira uma bagunça. E não adianta encher de screenshots, pois só complica mais a postagem. Se tiver que por código, formate como código (e sem remover o original, senão estraga o que foi respondido e explicado).
    – Largato
    Commented 9/01/2017 às 23:49
  • @Bacco, eu não misturei as condições de if, simplesmente tentei uma que me passou, não funcionou, pois então tentei a outra que tinha me passado, visto que a segunda era diferente da primeira pelo sinal de negação. E eu tirei a aceitação, pois mesmo com a sua ajuda o código não funcionou como deveria, quando postei esta questão e lhe disse que estava ok era porque não tinha feito o teste de tentar logar com a senha errada. E quando tentei isso hoje, o sistema estava logando mesmo com a senha errada.
    – Gabriel
    Commented 9/01/2017 às 23:57
  • 1
    Veja que isso nao é uma opinião minha, aqui tem uma lista de coisas que a comunidade em geral recomenda não fazer: meta.pt.stackoverflow.com/questions/5483/70
    – Largato
    Commented 10/01/2017 às 0:03

1 Resposta 1

5

Isso aqui não vai praticamente gerar o mesmo hash que foi gravado no DB:

$seg_senha = password_hash($senha, PASSWORD_DEFAULT);

e, entre outras coisas, é por isso que a função é mais segura do que hashes simples. Além de usar hashes melhores, a função gera um salt aleatório a cada vez que é usada.

Sistemas primitivos e inseguros de senha eram feitos com esta técnica que está sendo testada na pergunta, e estes são vulneraveis a ataques de tabelas de senha pré calculadas.

Para entender melhor, veja esta postagem:

Como fazer hash de senhas de forma segura?

Para entender que não funciona, faça este teste:

echo password_hash( '123456', PASSWORD_DEFAULT)."<br>\n";
echo password_hash( '123456', PASSWORD_DEFAULT)."<br>\n";
echo password_hash( '123456', PASSWORD_DEFAULT)."<br>\n";
echo password_hash( '123456', PASSWORD_DEFAULT)."<br>\n";
echo password_hash( '123456', PASSWORD_DEFAULT)."<br>\n";

Confira no IDEONE.

Notou que a senha é a mesma, mas o hash muda? É por isso que gerando o hash novamente ao fazer o SELECT não adianta.


Solução para o seu caso:

O correto é você recuperar os dados do DB com aquele usuário, e o hash, e só depois testar no PHP assim:

// ELIMINE ISSO DO LOGIN:
// $seg_senha = password_hash($senha, PASSWORD_DEFAULT);
// O password_hash só deve ser usado ao salvar uma senha, não ao ler.

$pdo = db_connect();
$sql = "SELECT id, nome, senha FROM usuarios WHERE email = :email";
$stmt = $pdo->prepare($sql);
$stmt->bindValue(':email', $email); // No caso o bindValue é mais adequado
$stmt->execute();

$arr = $stmt->fetchAll(PDO::FETCH_ASSOC);
if(count($arr) < 1) {
    ... USUARIO NAO EXISTE ...
} else if( password_verify( $senha, $arr[0]['senha'] ) ) {
    ... BEM VINDO AO SISTEMA ...
} else {
    ... SENHA ERRADA ...
} 

Ou se não quiser dar a dica se foi o usuário ou a senha que erraram, para dificultar ataques, troque o final para

if( ( count($arr) < 1) || (!password_verify( $senha, $arr[0]['senha'])) ) {
    ... SENHA OU USUÁRIO ERRADO ...
} else {
    ... BEM VINDO ...
} 

Em geral, é isso. Ajuste para o seu caso específico.

Manual:

http://php.net/manual/pt_BR/function.password-verify.php

5
  • 1
    Cuidado que tem muita besteira pela internet, se tiver duvida pergunte tambem. Tem gente que faz um monte de loucura, tipo MD5() de MD5(), coisa com base64() e outras coisas que só pioram a situação em vez de deixar mais seguro.
    – Largato
    Commented 4/01/2017 às 0:23
  • É, sei bem disso aí kk, acredito que pra situações mais basicas o password_hash serve muito bem
    – Gabriel
    Commented 4/01/2017 às 0:33
  • 1
    @Gabriel não só pras básicas. Quando usado certo, ele é bem robusto. Tem uma pergunta aqui no site com uma resposta muito boa, que ensina inclusive a fazer de uma maneira que sempre que atualize a segurança do PHP, todo usuário que renovar senha automaticamente tenha um hash melhor. Vou ver se acho o link e posto aqui pra vc
    – Largato
    Commented 4/01/2017 às 0:36
  • 1
    pt.stackoverflow.com/a/147319/70
    – Largato
    Commented 4/01/2017 às 0:37
  • 1
    Opa, mais um link que ira me ajudar então.. Não conheço muito ainda da parte de segurança pois ainda estou aprendendo PHP, que é a primeira linguagem que vou mais a fundo para aprender. Mas tenho certeza que esses dois links irão me servir bem no aprendizado... Obrigado!
    – Gabriel
    Commented 4/01/2017 às 0:49

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .