0

您好，我正在尝试将 PDO 植入我的登录脚本中，以使其免受 sql 注入的影响。但是我得到了一个白页，我认为这是因为我试图计算行数以查看用户是否真实.....

// Here we inculde the function page
include 'functions/functions.php';
// Here we connect to the db
$db = mysqlconnect();

$password = md5($_POST['mypassword']);
$statement = $db->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$statement->execute(array($_POST['myusername'], $password));


// Replace counting function based on database you are using.
 $count = $statement->rowCount();
// If result matched $myusername and $mypassword, table row must be 1 row

if($count == 1){
  // Register $myusername, $mypassword and redirect to file "login_success.php"

$_SESSION['username'] = $myusername ;


//Test if it is a shared client
if (!empty($_SERVER['HTTP_CLIENT_IP'])){
  $ip=$_SERVER['HTTP_CLIENT_IP'];
//Is it a proxy address
}elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])){
  $ip=$_SERVER['HTTP_X_FORWARDED_FOR'];
}else{
  $ip=$_SERVER['REMOTE_ADDR'];
}


$updateinfo=mysql_query("UPDATE `users` SET lastip ='$ip' WHERE `username` = '".$_SESSION['username']."'");
mysql_query("INSERT INTO user_log 
(username, ip) VALUES('".$_SESSION['username']."', '$ip' ) ") 
or die(mysql_error());  





header("Location: home.php");
} else {
  echo "Wrong Username or Password";
}


echo"<p> </p>";

我没有收到任何错误只是一个白页。

这也是我的功能页面，我包括

    function mysqlconnect(){
     global $db;
    $host = 'localhost';
    $port = 3306; // This is the default port for MySQL
    $database = '';
    $username = '';
    $password = '';

    // Construct the DSN, or "Data Source Name".  Really, it's just a fancy name
    // for a string that says what type of server we're connecting to, and how
    // to connect to it.  As long as the above is filled out, this line is all
    // you need :)
    $dsn = "mysql:host=$host;port=$port;dbname=$database";

    // Connect!
    $db = new PDO($dsn, $username, $password);

}
4

1 回答 1

1

您的代码中有几件事令人印象深刻。

如果您将整个脚本粘贴到此处，您将丢失session_start(). 我不知道你的内容是什么home.php，但如果它的内容生成取决于 $_SESSION['username'] 中的值，那么它永远不会发生，因为在标头重定向后它将为空。

查看有关session_start()的手册。

此外，如前所述：

对于大多数数据库，PDOStatement::rowCount() 不返回受 SELECT 语句影响的行数。

以防万一想到提到这一点。过去我花了很多时间自己想知道这件事。

您可能想看一下有关rowCount的手册中的示例 #2 。

当然，正如@Paul 已经指出的那样，mysql_query()如果迁移到 PDO，您不应该再使用。

于 2012-05-26T02:51:19.137 回答