Uma forma de fazer filtro de sha1 seria assim:
function isSHA1($sha1) {
return (bool) preg_match('/^[0-9a-f]{40}$/i', $sha1);
}
Se estiver usando o PDO por exemplo, você pode fazer assim:
$dbh = new PDO("mysql:host=localhost;dbname=seubanco", $user, $pass);
try {
if (!isset($_POST['usuario'])) {
throw new PDOException('Informe o nome de usuário!');
}
if (!isset($_POST['senha'])) {
throw new PDOException('Informe a senha!');
}
if (!isUser($_POST['usuario'])) {
//aqui você cria um método para tratar o usuário
throw new PDOException('Informa um usuário válido!');
}
if (!isSHA1($_POST['senha'])) {
throw new PDOException('A senha informada é inválida!');
}
$stmt = $dbh->prepare("
INSERT INTO usuarios (usuario, senha)
VALUES (:user,:pass)
");
$usuario = $_POST['usuario'];
$senha = $_POST['senha'];
$stmt->bindParam(':user', $usuario);
$stmt->bindParam(':pass', $senha);
$stmt->execute();
} catch(PDOException $e) {
echo $e->getMessage();
}
Porém não tem necessidade de validar sha1 para um caso desse, pois o usuário irá digitar uma senha normal, e depois ela será convertida para sha1:
$dbh = new PDO("mysql:host=localhost;dbname=seubanco", $user, $pass);
try {
if (!isset($_POST['usuario'])) {
throw new PDOException('Informe o nome de usuário!');
}
if (!isset($_POST['senha'])) {
throw new PDOException('Informe a senha!');
}
if (!isUser($_POST['usuario'])) {
//aqui você cria um método para tratar o usuário
throw new PDOException('Informa um usuário válido!');
}
$stmt = $dbh->prepare("
INSERT INTO usuarios (usuario, senha)
VALUES (:user,:pass)
");
$usuario = $_POST['usuario'];
//convertendo a senha para sha1
$senha = sha1($_POST['senha']);
$stmt->bindParam(':user', $usuario);
$stmt->bindParam(':pass', $senha);
$stmt->execute();
} catch(PDOException $e) {
echo $e->getMessage();
}
OBS: Não recomendo uso de hash com sha1()
e nem md5()
, embora eles sejam seguros, contanto que você inclua um token
junto à senha, ambos possuem falha de colisão: Nesta pergunta, fala mais sobre o assunto
Uma boa alternativa para senha é o uso do password_rash.
PDO
, oumysqi_*
basta criar um tipo de placeholder para injetar uma SQL válida, não vejo porque tratar o dado compreg_replace()
. exemplo em PDO:insert into tabela (senha) values (:senha_string)
e em mysqi:insert into tabela (senha) values(?)
.$stmt->bindParam(':senha', $senha);
a única coisa que vc vai fazer é validar o formato, mas nunca será injetado uma query que danifique seu sistema com isso.