password_verify () против MySQL не работает - PullRequest
Новая
       21

password_verify () против MySQL не работает

0 голосов
/ 11 июля 2019

Я храню пароль, получаю через форму, в базе данных MySQL через PDO, после того, как хеширую его с помощью password_hash () (VARCHAR (512) поле) 

$options = array(
    'cost' => 12
);
$password = password_hash($password, PASSWORD_BCRYPT, $options);

Предположим, что 

$pass = "123Azerty";
//and the hash is
$hash = "$2y$12$TzpGzy1cKM81pkEr/Mn0SOVA4wn0lr.7PnKFg4SU9Hto0EUiGGRMe";

Когда я получаю пароль из базы данных и проверяю его с помощью password_verify (), он всегда возвращает false 

...
...
$returnedPWD = $row['password'];
if (password_verify($pass,$returnedPWD)){
    echo "TRUE";
} else {
    echo "FALSE";
}
...
...

В этот момент я попытался сделать это «вручную» таким образом 

$pass = "123Azerty";
$hash = "$2y$12$TzpGzy1cKM81pkEr/Mn0SOVA4wn0lr.7PnKFg4SU9Hto0EUiGGRMe";
if (password_verify($pass,$hash )){
    echo "TRUE";
} else {
    echo "FALSE";
}

И он всегда возвращал ЛОЖЬ

НО

когда я изменился 

$hash = "$2y$12$TzpGzy1cKM81pkEr/Mn0SOVA4wn0lr.7PnKFg4SU9Hto0EUiGGRMe";
// into
$hash = '$2y$12$TzpGzy1cKM81pkEr/Mn0SOVA4wn0lr.7PnKFg4SU9Hto0EUiGGRMe';

это сработало. Поскольку хеш, заключенный в одинарные кавычки, не может быть разобрано. Насколько я понимаю, это означает, что хэш, взятый из базы данных, он интерпретируется как синтаксический анализ (двойные числа), чем он вообще не работает

затем я попытался заключить строку в db int strval (): 

...
...
$returnedPWD = strval($row['password']);
if (password_verify($pass,$returnedPWD)){
    echo "TRUE";
} else {
    echo "FALSE";
}
...
...

Но возвращается всегда ЛОЖЬ читая все сообщения, связанные с неработоспособностью password_verify (), я не нашел ни одного правильного решения для меня.

Пожалуйста, есть ли способ заставить его работать?

Заранее спасибо

РЕДАКТИРОВАТЬ 1

Я пробовал с другими настройками как PASSWORD_DEFAULT, но без изменений. Я также попытался закодировать Base64 в хранилище базы данных, а затем расшифровать. Но ничего не изменилось

РЕДАКТИРОВАТЬ 2

Я храню данные, используя PDO с параметрами 

 $query = "INSERT INTO `users` (username, password) VALUES (:username, :password)";

 $params = array(
            ':username' => "$username",
            ':password' => "$password" // hashed one
        );

РЕДАКТИРОВАТЬ 3

Структура таблицы 

CREATE TABLE IF NOT EXISTS `users` (
  `id` int(11) NOT NULL AUTO_INCREMENT,
  `username` varchar(50) NOT NULL,
  `password` varchar(512) NOT NULL,
  `enabled` int(1) DEFAULT NULL,
  PRIMARY KEY (`id`)
) ENGINE=InnoDB  DEFAULT CHARSET=utf8mb4 AUTO_INCREMENT=13 ;


$username = trim($_POST["username"];
$password = trim($_POST["password"];

// Query to insert data
 $query = "INSERT INTO `users` (username, password, enabled) VALUES (:username, :password, 1)";

// The very original setup I did use and didn't work out
$param_password = password_hash($password, PASSWORD_DEFAULT); 

// Bind parameters
$params = array(
     ':username' => "$username",
     ':password' => "$param_password"
);
...
...
// insert into db
$sth = $sql->prepare($query);

// Call MySQL
try {
    $sth->execute($params); // Execute the Query
} catch (PDOException $e) {
    $mysql_error = 'MySQL connection failed: ' . "<br>" . $e->getMessage();
}
...
...

и вот основные строки о том, как я читаю из базы данных 

...
...
$username_login = trim($_POST["username"]);
$password_login = trim($_POST["password"]);
...
...   
$query = "SELECT * FROM `users` WHERE username = :username";
$params = array(
    ':username' => $username_login
);   

$sth = $sql->prepare($query);

try{
    $sth->execute($params);
} catch (PDOException $e)  {
    $mysql_error = 'MySQL connection failed: ' . "<br>" . $e->getMessage();
}

while ($row = $sth->fetch(PDO::FETCH_ASSOC)) {
    foreach ($row as $key => $value) {
        global $$key;
        $$key = $value;
    }
}
...
...

if (password_verify($password_login, $password) and $enabled == 1){
    // Password is correct, so start a new session
    session_start();

    // Store data in session variables
    $_SESSION["logged"] = true;
    $_SESSION["id"] = $id;
    $_SESSION["uname"] = $username_login_;                            

    // Redirect user to welcome page
    header("location: index.php");

} else {
    // Display an error message if password is not valid
    $password_login__err = "The password you entered was not valid. Or you are not enabled";
}
...
...

1 Ответ

3 голосов
/ 11 июля 2019

Ваш код не работает из-за "$password " - в конце есть место. Должно быть: 

$query = "INSERT INTO `users` (username, password) VALUES (:username, :password)";

$params = array(
        ':username' => $username,
        ':password' => $password, // hashed one
    );

Ваш ручной тест не работает, потому что 

$hash = "$2y$12$TzpGzy1cKM81pkEr/Mn0SOVA4wn0lr.7PnKFg4SU9Hto0EUiGGRMe";

имеет двойные кавычки и интерполирует $2y, $12 и $Tz... как переменные, которые приводят к пустой строке. Вот почему одинарные кавычки работают.

Из предоставленной вами информации я создал пример кода, который действительно работает: Проверьте здесь

...