Tenho um usuário e senha que estao sendo salvos em uma session, so que a senha esta sendo criptografada pela função bcrypt. Como eu faço para verifica se a senha que está salva na session é igual a senha q está no banco de dados mysql que também esta criptografada?
-
Samuel, apaguei meu comentário por não trazer nada relevante a pergunta... mas sobre bcrypt aqui tem um tutorial sobre o uso dele: blog.thiagobelem.net/…– Rafael WithoeftCommented 14/04/2015 às 12:00
-
@RafaelWithoeft eu estava seguindo este tutorial, mas la ele não explica como usar ele em session e mysql, pois para verificar se os dois dados são iguals, um dos valores que tem q ser passados para a função, tem q ser a senha sem estar criptografada, e a senha já criptografada que vem do banco de dados. Só que no meu caso, as duas senhas estao criptografadas. Tem alguma maneira de fazer este sistema de login sem usar session?– Samuel CarvalhoCommented 14/04/2015 às 12:08
-
Existem várias maneiras, eu particularmente não armazeno senhas em sessão... apenas um id de identificação do usuário normalmente. Aqui tem uma pergunta que envolve essa questão de sessão e login: pt.stackoverflow.com/questions/38920/… você usa bcrypt com salt dinâmico ? O que você pode fazer talvez é: armazenar a sessão no banco (tabela - memory), e em áreas críticas você pede a senha novamente...– Rafael WithoeftCommented 14/04/2015 às 12:12
-
Mas voltando ao foco da sua pergunta, antes de armazenar na sessão você passa a senha novamente por uma função de bcrypt, assim gerando um valor diferente do que pode estar na base certo? Se você comparar o que tem na sessão de valor será diferente da base então... (Pelo menos foi isso que entendi, só estou confirmando essa informação)– Rafael WithoeftCommented 14/04/2015 às 12:29
-
2Samuel chat.stackexchange.com/rooms/22834/verificar-session– Rafael WithoeftCommented 14/04/2015 às 14:00
|
Mostrar mais 4 comentários
1 Resposta
Nunca, nunca, mas nunca guardes senhas em sessões, por mais segura que as tuas sessões pareçam.
Para verificar uma hash, com o bcrypt, deves simplesmente fornecer a primeira hash(hash existente no banco de dados) e encriptar a senha proveniente do formulário(no teu caso, a hash armazenada na sessão).
<?php
// See the password_hash() example to see where this came from.
// a variavel hash possui o valor da hash no banco de dados
// Imagine que este é o valor
$hash = '$2y$07$BCryptRequires22Chrcte/VlQH0piJtjXl.0t1XkA8pw9dMXTpOq';
// So para relembrar, que guardar senhas na sessão nao é uma boa pratica.
if (password_verify($_SESSION['senha_na_sessao'], $hash)) {
echo 'Password is valid!';
// Usuario autenticado
// Inicializar as sessoes para esse usuario
} else {
echo 'Invalid password.';
// Usuario invalido
// Retorna a pagina de login
}
?>
A função password_verify é exclusiva para o PHP >= 5.5.0
Para versões do PHP inferiores a PHP < 5.5.0 existe esta API que simula estas novas funções.
#Um exemplo:
<?php
//Reset dos valores
$usr = $pwd = "";
// Cadastro
if(isset($_POST["cadastrar"])){
// Neste exemplo, não irei verificar se o usuario digitou algo ou nao
if(isset($_POST["usuario"]) && isset($_POST["senha"])){
$usr = $_POST["usuario"];
$pwd = $_POST["senha"];
// A partir daqui tratamos da senha
// Encripta-se a senha;
// esta funcao utiliza o blowfish por predefinicao
$hash = password_hash($pwd, PASSWORD_DEFAULT);
if($hash){
// Insere no banco de dados
// Um exemplo:
$query = "INSERT INTO usuarios ('nome','senha') VALUES ('{$usr}','{$hash}') LIMIT 1";
if(mysqli_query($conexao_sqli, $query)){
echo "Cadastrado";
// redirecciona
} else {
echo "Não cadastrado";
// redirecciona
exit;
}
// Encerra a conexao algures
}
}
}
// Login
if(isset($_POST["entrar"])){
// Neste exemplo, não irei verificar se o usuario digitou algo ou nao
if(isset($_POST["usuario"]) && isset($_POST["senha"])){
$usr = $_POST["usuario"];
$pwd = $_POST["senha"];
// A partir daqui tratamos da senha
// Aqui faz-se a mesma, coisa, mas desta vez utiliza-se
// a hash do banco de dados
// O blowfish utiliza apenas os 22 primeiros carateres
// para criar a hash
// Uma consulta SQL/funcao que retorna a hash no banco
// de dados passa este usuario
// exemplo:
$query = "SELECT nome, senha FROM usuarios WHERE usuario = '{$usr}'";
$if(mysqli_query($conexao_sqli, $query)){
$hash_do_banco_de_dados = mysqli_fetch_assoc($query);
$hash = password_hash($pwd, $hash_do_banco_de_dados["senha"]);
if($hash){
if(password_verify($pwd, $hash)){
echo "Logado";
// Sessoes
// Redirecciona
exit;
} else {
echo "Nao logado";
// redirecciona
exit;
}
}
}
}
}
?>
<?php
if(!isset($_GET['pagina']) && $_GET['pagina'] == 'cadastrar'){
?>
<form method="POST" action="">
Usuario:<br/>
<input type="text" name="usuario" size="30"/><br/>
Senha:<br/>
<input type="password" name="senha" size="30"/><br/>
<input type="submit" name="cadastrar" value="Cadastrar"/>
</form>
<br/>
<br/>
Clique aqui para <a href="index.php?pagina=entrar">Entrar</a>
<?php
} elseif(isset($_GET['pagina']) && $_GET['pagina'] == 'entrar'){
?>
<form method="POST" action="">
Usuario:<br/>
<input type="text" name="usuario" size="30"/><br/>
Senha:<br/>
<input type="password" name="senha" size="30"/><br/>
<input type="submit" name="entrar" value="Entrar"/>
</form>
<br/>
<br/>
Clique aqui para <a href="index.php?pagina=cadastrar">cadastrar</a>
<?php
} else {
?>
<form method="POST" action="">
Usuario:<br/>
<input type="text" name="usuario" size="30"/><br/>
Senha:<br/>
<input type="password" name="senha" size="30"/><br/>
<input type="submit" name="entrar" value="Entrar"/>
</form>
<br/>
<br/>
Clique aqui para <a href="index.php?pagina=cadastrar">Cadastrar</a>
<?php>
}
?>
É basicamente isto aí, levei algum tempo a criar isto, porque criei-o à partir do gedit e também porque estou pelo linux num notebook :/, mas não pude executar o exemplo, mas garanto que funciona, bastará que substituas as variaveis de conexao fiticias que eu usei no exemplo.
-
Como faria para fazer a verificação por login sem passar a senhas para as session? Commented 7/05/2015 às 15:10
-
-
-
Demorei algum tempo, mas é basicamente isto que aí esta. Eu tenho um tutorial a falar disto e mostrar de forma detalhada no youtube, mas tive de escrever este, porque de momento estou sem o código-fonte do outro.– EdilsonCommented 7/05/2015 às 16:00