0

Estou a criar uma simples página de login em php com base neste vídeo. No entanto, após fazer exatamente como o vídeo descreve, aprendi que a minha versão de PHP atualizou e já não é possível usar o comando mysql_connect.

<?php
// Get values passe from form in login.php file
$username = $_POST['user'];
$password = $_POST['pass'];

//to prevent mysql injection
$username = stripcslashes($username);
$password = stripcslashes($password);
$username = mysql_real_escape_string($username);
$password = mysql_real_escape_string($password);

//connect to the server and select database
mysql_connect("localhost", "root", "");
mysql_select_db("projeto_rc");

//Query for database user
$result = mysql_query("SELECT * FROM utilizadores WHERE username = '$username' and password = '$password'")
        or die("Failed to query database ".mysql_error());

$row = mysql_fetch_array($result);
if ($row['username'] == $username && $row ['password'] == $password){
echo "Login success!!! Welcome ".$row['username'];
}
else {
    echo "Failed to login";
}

Com base neste código, como posso mudá-lo de forma a suportar a versão mínima de PHP 7? Sei que deveria começar por alterar de mysql_real_escape_string para mysqli_real_escape_string conforme indicado por este erro:

Fatal error: Uncaught Error: Call to undefined function mysql_real_escape_string() in C:\xampp\htdocs\login\process.php:9 Stack trace: #0 {main} thrown in C:\xampp\htdocs\login\process.php on line 9

No entanto, iria precisar de usar 2 parâmetros entre os parêntesis e apenas uso um. Quais algumas das possíveis soluções?

2

2 Respostas 2

0

A partir do PHP 5.5, a biblioteca MySQL é considerada obsoleta, mas ainda funciona. Porém, é recomendado não utilizá-la mais, pois foi removida do PHP na versão 7.

Quais algumas das possíveis soluções?

  • Uma das soluções possíveis é usar Prepared Statments
    • O prepared statments já funciona como um conjunto de filtros que funcionam e resolvem bem o problema mysql injection.

O que são prepared statements?

Nada mais são do que consultas “pré-prontas”… A diferença é que em lugar das variáveis você coloca um placeholder (marcador de lugar) e na hora da consulta informa a ordem das variáveis a serem substituidas.

É mais fácil de explicar com um exemplo!

// a interrogação vai no lugar da variável
$query = "SELECT * FROM tabela WHERE username = ?";

// para fazer com vários parametros é a mesma coisa
$query = "SELECT * FROM tabela WHERE username = ? AND password = ?";

Depois, é só informar o que vai no lugar dos respectivos ‘?’ e a consulta estará protegida!

Com prepared statements, a consulta é dividida em duas partes, o comando sql e as marcações(?) que serão substituídos pelos valores, o primeiro é executado já o segundo mesmo contendo uma instrução sql válida será tratado como texto puro.

Abaixo código preparado para o seu caso.

if (isset($_POST['user'], $_POST['pass'])) {
    // Obtém valores do formulário do arquivo login.php
    $username = $_POST['user'];
    $password= $_POST['pass'];
    //verifica se alguma variavel é uma variável vazia
    if (empty($username) || empty($password)) {
        echo "Todos os campos são obrigatórios!";
    } else {
        //conexão 
        $pdo = new PDO('mysql:host=localhost;dbname=nome+_DB', 'USUARIO', 'SENHA');
        $query = $pdo->prepare("SELECT * FROM utilizadores WHERE username = ? AND password = ?");
        $query->bindValue(1, $username);
        $query->bindValue(2, $password);

        $query->execute();

        $num = $query->rowCount();
        if ($num == 1) {
            echo "Login success!!! Welcome ".$row['username'];
            exit();

        } else {
            echo "Failed to login";
        }
    }

}

No PHP, a extensão MySQLi também suporta statements preparados, mas é recomendado sempre utilizar o PDO pois ele facilita a migração para outros bancos, além de oferecer uma API concisa entre eles.

PDO é uma camada de abstração de banco de dados. É uma interface genérica para diversos SGBDs, ou seja, seu código escrito com PDO funcionará com MySQL, PostgreSQL, SQLite e diversos outros SGBDs.

0

O mysql_real_escape_string não funciona mais no PHP 7.

Você precisa voltar para o PHP 5 e também passar também sua "conexão" como parâmetro.

Exemplo com mysql_real_escape_string:

$link = mysql_connect('localhost', 'mysql_user', 'mysql_password');

$item = "Zak's and Derick's Laptop";
$escaped_item = mysql_real_escape_string($item, $link);

No seu caso:

$con = mysql_connect("localhost", "root", "");

$username = mysql_real_escape_string($username, $con);
$password = mysql_real_escape_string($password, $con);

Ou, no PHP 7, usando o mysqli_real_escape_string (atenção, é invertido):

$link = mysqli_connect("localhost", "user", "password", "db");

/* checa a conexão */
if (mysqli_connect_errno()) {
    printf("Erro : %s\n", mysqli_connect_error());
    exit();
}

$var = mysqli_real_escape_string($link, $var);

Úteis:

Documentação - mysql_real_escape_string

Documentação - mysqli_real_escape_string

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .