無(wú)法將登入表單連接到 MySQL 資料庫(kù)

此查詢涉及實(shí)現(xiàn)根據(jù) MySQL 資料庫(kù)進(jìn)行驗(yàn)證的使用者登入功能。使用者期望輸入使用者名稱和密碼，該使用者名稱和密碼應(yīng)根據(jù)資料庫(kù)中儲(chǔ)存的憑證進(jìn)行驗(yàn)證。不幸的是，雖然表單提交沒(méi)有錯(cuò)誤，但並沒(méi)有實(shí)現(xiàn)想要的功能。

解決問(wèn)題

這個(gè)問(wèn)題的根本原因在於缺乏針對(duì) SQL 注入攻擊的保護(hù)以及不安全在資料庫(kù)中以純文字形式儲(chǔ)存密碼。為了解決這些問(wèn)題，建議：

• 使用準(zhǔn)備好的語(yǔ)句：參數(shù)化使用者輸入以防止 SQL 注入攻擊。不是直接將使用者輸入嵌入到 SQL 查詢中，而是使用佔(zhàn)位符，並將參數(shù)綁定到這些佔(zhàn)位符。
• 實(shí)現(xiàn)正確的密碼雜湊：使用單向雜湊函數(shù)安全地儲(chǔ)存密碼，例如bcrypt 或 PBKDF2。這可以防止未經(jīng)授權(quán)的使用者在資料外洩時(shí)存取明文密碼。

程式碼解決方案（使用準(zhǔn)備好的語(yǔ)句和密碼雜湊）

Register.php：

<code class="php">// Replace previous code with the following:

session_start();

if (isset($_SESSION['userid'])) {
    // Redirect to safe page
}

if (isset($_POST['register'])) {
    $email = $_POST['email'];
    $password = $_POST['password']; // Cleartext password from user

    // New code for password hashing
    $hashed_password = password_hash($password, PASSWORD_DEFAULT);

    // Database connection and query
    $host = "localhost";
    $dbname = "database_name";
    $user = "username";
    $pass = "password";

    try {
        $conn = new PDO("mysql:host=$host;dbname=$dbname", $user, $pass);
        $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
        
        $stmt = $conn->prepare("INSERT INTO user_accounts (email, password) VALUES (?, ?)");
        $stmt->execute([$email, $hashed_password]);
        
        // Redirect to login page
        
        $conn = null;
    } catch (PDOException $e) {
        throw $e;
    }
}</code>

Login.php:

<code class="php">// Replace previous code with the following:

session_start();

if (isset($_SESSION['userid'])) {
    // Redirect to safe page
}

if (isset($_POST['login'])) {
    $email = $_POST['email'];
    $password = $_POST['password']; // Cleartext password from user

    // Database connection and query
    $host = "localhost";
    $dbname = "database_name";
    $user = "username";
    $pass = "password";

    try {
        $conn = new PDO("mysql:host=$host;dbname=$dbname", $user, $pass);
        $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

        // Get hashed password from database
        $stmt = $conn->prepare("SELECT password FROM user_accounts WHERE email = ?");
        $stmt->execute([$email]);
        $hashed_db_password = $stmt->fetchColumn();

        if (password_verify($password, $hashed_db_password)) {
            // User authenticated successfully
            $_SESSION['userid'] = true;
            
            // Redirect to safe page
        } else {
            // Authentication failed
        }
        
        $conn = null;
    } catch (PDOException $e) {
        throw $e;
    }
}</code>

透過(guò)這些程式碼修改，使用者登入現(xiàn)在應(yīng)該透過(guò)與MySQL 資料庫(kù)安全互動(dòng)來(lái)正常運(yùn)行，從而防止SQL注入攻擊和使用者密碼外洩。

以上是為什麼我的登入表單無(wú)法連線到我的 MySQL 資料庫(kù)？的詳細(xì)內(nèi)容。更多資訊請(qǐng)關(guān)注PHP中文網(wǎng)其他相關(guān)文章！