0

好的，所以我正在构建一个新应用程序，并决定使用 PDO 进行数据库访问。（我对 PDO 完全陌生，但我的印象是它是进行数据库访问的最佳方式）。

现在，我的登录脚本非常简单。它使用给定的用户名（来自登录表单）检查数据库中的用户，尝试将给定的密码与存储的纯文本密码匹配（尚未加密/解密），并根据需要重定向用户。这是一个简单的序列图：

Login Screen ---(user enters credentials)--->Login Handler---(gets user details and compares pw)-->if (pw == stored pw)--->dashboard / else --->login w/ error msg

抱歉，如果这很难阅读，我不确定代表流程的最佳方式......无论如何......

这是我的问题：我输入了正确的用户名和密码（甚至区分大小写！），并且总是被重定向回带有错误消息的登录屏幕。但是，如果我只是通过 url 栏转到仪表板，我不会被重定向回登录屏幕（如果没有设置会话，我应该是这样），并且我的用户名显示在导航栏中（好像我已经登录正确）。

再次抱歉，如果这很难理解。它有点难以简单解释。如果这是一个问题，我也许可以做一个截屏视频来更好地解释。无论哪种方式，这是我的代码：

登录处理程序.php

if(!isset($_POST['username']) || !isset($_POST['password'])){
    header('Location: login.php?error=pass');
}
$username = $_POST['username'];
$pass = $_POST['password'];

//TODO: crypt password

try{
    $DB = new PDO("mysql:host=127.0.0.1;port=8889;dbname=cTix", 'root', 'root'); //TODO: change this when uploading to webserver
    $STH = $DB->prepare("SELECT * FROM users WHERE username = $username LIMIT 0, 1");
    $STH->setFetchMode(PDO::FETCH_OBJ);
    $STH->execute();
    $u = $STH->fetch();
    if($pass == $u->password){
        session_start();
        $_SESSION['uid'] = $u->id; //TODO: securely store uid
        header('Location: index.php');
    } else {
        //echo 'Your Password: ' . $pass . ' - Correct Password: ' . $u->password;
        header('Location: login.php?error=pass');
    }
} catch(PDOException $e){
    //echo $e->getMessage();
    header('Location: login.php?error=true');
    exit;
}

下面是检索dashboard.php 用户名的代码：

function connection(){
    $host = 'localhost';
    $dbname = 'cTix';
    $user = 'root';
    $pass = 'root';
    try {
        $DBH = new PDO("mysql:host=$host;dbname=$dbname", $user, $pass);
        return $DBH;
    } catch(PDOException $e){
        echo $e->getMessage();
        return null;
    }
}

function getUserById($id){
    $DB = connection();
    $STH = $DB->query("SELECT * FROM users WHERE id = $id");
    $STH->setFetchMode(PDO::FETCH_OBJ);
    $u = $STH->fetch();
    $DB = null;
    return $u;
}

function getUserName(){
    echo getUserById(getCurrentUserId())->name;
}

如果我可以提供任何其他信息，或者我可以提供的任何对您有帮助的信息，请告诉我！

不幸的是，如果没有解决这个愚蠢的登录问题，我无法在这个应用程序上取得任何进展，所以任何帮助都将不胜感激！谢谢！

4

1 回答 1

2

这是您的问题所在：

$STH = $DB->prepare("SELECT * FROM users WHERE username = $username LIMIT 0, 1");

您将用户名连接到 SQL 字符串中，但没有引用它。我怀疑这将解决问题：

$STH = $DB->prepare("SELECT * FROM users WHERE username = '$username' LIMIT 0, 1");

然而

您应该研究如何使用绑定参数。您已经在使用 PDO，但您仍在 SQL 中编写用户输入的代码，并且绑定参数避免了这种情况——它也可以避免这个问题。

这应该可行，但我没有测试过：

$STH = $DB->prepare('SELECT * FROM users WHERE username = ? LIMIT 0, 1');
$STH->bindParam(1, $username);
$STH->setFetchMode(PDO::FETCH_OBJ);
$STH->execute();
于 2012-09-05T20:18:11.943 回答