2

Criei um formulário de login com o seguinte código:

Login.html:

<form action="login.php" method="post">
<input type="hidden" name="id" value=''>
Usuário<input type="text" name="usuario" id="usuario" >
Senha<input type="password" name="senha" id="senha">
<input type="submit" name="entrar" id="entrar" value="Entrar">
</form>

O código php:

Login.php:

<?php
//inclui arquivo com conexao ao banco
include_once('db.php');

$usuario = mysql_real_escape_string($_POST['usuario']);
$senha = md5(mysql_real_escape_string(($_POST['senha'])));
$entrar = $_POST['entrar'];
    if ($_POST['entrar']) {

        $sql = "SELECT * FROM login WHERE usuario='$usuario' AND senha='$senha'" or die("erro ao selecionar");
        $acao_sql = $mysqli->query($sql);

            if ($acao_sql=mysqli_num_rows($sql)>=0){

                setcookie("usuario",$usuario);
                header("Location:painel.php");

            }else{
                echo"<script language='javascript' type='text/javascript'>alert('Login e/ou senha incorretos');window.location.href='login.html';</script>";
                die();

            }
    }
?>

O problema é que qualquer senha e usuário que coloco, ele entra no sistema (painel.php).

3
  • 1
    pt.stackoverflow.com/questions/13386/… eu fiz um exemplo bem parecido mas, serve como base!
    – user6026
    6/05/2014 às 21:26
  • 1
    Só a jeito de recomendação: não utilizes MD5 porque está mais que provado que não é muito seguro nos dias de hoje - usa outro método de hashing como bcrypt ou, pelo menos, SHA512 com 12 caracteres. Podes sempre melhorar isto com um campo adicional na base de dados, conhecido como SALT, que é gerado de uma forma única e não se repete, aumentado a dificuldade de ataque. 7/05/2014 às 10:34
  • 1
    @mOrSa irei pesquisar sobre isso, agradeço pela dica! 7/05/2014 às 12:28

2 Respostas 2

4

Você está usando o operador de comparação >= (Maior ou Igual) no trecho, mysqli_num_rows($sql) >= 0, ou seja, se encontrar o usuário > maior do 0, se não encontrar, Igual a 0, neste caso, seu if sempre retorna true, e redireciona para painel.php.

Além disso você precisa fazer mysqli_num_rows do result da query, ou seja, $acao_sql->num_rows.

Edite seu código para:

if($acao_sql->num_rows == 1)

ou

if($acao_sql->num_rows > 0)

12
  • Já testei assim, occore o seguinte erro: Warning: mysqli_num_rows() expects parameter 1 to be mysqli_reuslt 6/05/2014 às 21:55
  • Editei o código, na verdade vc precisa fazer mysqli_num_rows do result, tente novamente.
    – abfurlan
    6/05/2014 às 21:59
  • Muito agradecido pelo ajuda! 7/05/2014 às 12:28
  • É importante usa start_session() para esse tipo de aplicação? 7/05/2014 às 12:32
  • 1
    Sim, é importante e além da dica dada pelo @mOrSa, há outras recomendações importantes a serem seguidas para obter mais segurança, veja algumas neste link: pt.wikihow.com/Criar-um-Script-de-Login-Seguro-em-PHP-e-MySQL
    – abfurlan
    7/05/2014 às 16:30
0

Se estiver utilizando versão (PHP 5 >= 5.5.0) recomendo fortemente a utilização do password_hash ou caso seja < 5.5.0, utilizar phpass.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .