4

Eu sei que o password_hash funciona assim:

string password_hash ( string $password , integer $algo [, array $options ] )

1 - Mas queria saber como posso aplicar password_hash nesses casos:

$check = mysql_query("SELECT `id` FROM `database`.`user` 
WHERE `password` = '".$password."'") or die(mysql_error());

$insert = mysql_query("INSERT INTO `database`.`user`(`username`,`password`,`email`)
VALUES ('".$username."','".$password."','".$email."')") or die(mysql_error());

$update = mysql_query("UPDATE `database`.`user` SET `password` = '".$newpassword."' 
WHERE `password` = '".$oldpassword."'") or die(mysql_error());

2 - Depois de aplicar password_hash ainda vou precisar de mysql_real_escape_string?

$username = mysql_real_escape_string($_POST['username']);
$password = mysql_real_escape_string($_POST['password']);
$email = mysql_real_escape_string($_POST['email']);

2 Respostas 2

8

Antes de mais nada, recomendo leitura desta pergunta:

Como fazer hash de senhas de forma segura?


Seguem dois exemplos de password_hash usando mysqli e bind_param, dispensando a necessidade de se fazer qualquer tipo de escape manualmente.

O bind param já faz o escape dos valores automaticamente:


Exemplo de armazenagem de senha com password_hash:

$mysqli = new mysqli( 'enderecodoservidor', 'usuario', 'senha', 'basededados' );

$usuario = $_POST['usuario'];
$hash    = password_hash( $_POST['senha'], PASSWORD_DEFAULT );

$query = 'INSERT INTO usuarios ( nome, hash) VALUES ( ?, ? )';
$stmt = $mysqli->prepare( $query );
$stmt->bind_param("ss", $usuario, $hash );
$stmt->execute();


Exemplo de atualização de senha com password_hash:

$mysqli = new mysqli( 'enderecodoservidor', 'usuario', 'senha', 'basededados' );

$usuario = $_session['usuario']; // ou idusuario, depende como voce mantem o login
$hash    = password_hash( $_POST['novaSenha'], PASSWORD_DEFAULT );

$query = 'UPDATE usuarios SET hash= ? WHERE nome = ? '; // ou WHERE id = ?
$stmt = $mysqli->prepare( $query );
$stmt->bind_param("ss", $hash , $usuario ); // ou ("si", $hash, $idUsuario)
$stmt->execute();


Exemplo de verificação de senha com password_hash:

$mysqli = new mysqli( 'enderecodoservidor', 'usuario', 'senha', 'basededados' );

$usuario = $_POST['usuario'];
$idUsuario = 0; // Isso se trabalhar com ID numérico, o que pode ser interessante

$query = 'SELECT id, hash FROM usuarios WHERE nome = ?';
$stmt = $mysqli->prepare( $query );
$stmt->bind_param("s", $usuario );
$stmt->execute();

$stmt->bind_result( $idUsuario, $hash ); // aqui tem que bater com os campos do select
$stmt->fetch();

if ( password_verify( $_POST['senha'], $hash ) ) {
   echo 'Logado';
} else {
   echo 'Usuario e/ou senha invalidos';
}

Deixe um campo varchar() largo o suficiente para o hash da senha, para não correr risco de truncar os dados.

Veja nesse post como atualizar o hash das senhas automaticamente com novas versões do PHP:

https://pt.stackoverflow.com/a/147319/70

0
0

O password_hash quem vem no PHP 5 >= 5.5.0, poderia ser utilizado assim:

$password = password_hash($password);
$check = mysql_query("SELECT `id` FROM `database`.`user` 
WHERE `password` = '".$password."'") or die(mysql_error());

$password = password_hash($password);
$insert = mysql_query("INSERT INTO `database`.`user`(`username`,`password`,`email`)
VALUES ('".$username."','".$password."','".$email."')") or die(mysql_error());

$password = password_hash($password);
$oldpassword = password_hash($oldpassword);
$update = mysql_query("UPDATE `database`.`user` SET `password` = '".$newpassword."' 
WHERE `password` = '".$oldpassword."'") or die(mysql_error());

Observação: No meu entender eu utilizaria filter_vars ou filter_input no lugar desses mysql_real_escape_string e também em vez de usar o deprecate mysql_*, usar o PDO ou Mysqli, porque ele será descontinuado nas versões mais novas do PHP, por vários motivos um deles é segurança !!!

Nessa resposta tem uma boa explicação também sobre a parte do Mysql.

0

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .