0

我查看了http://www.phpportalen.net/wiki/index.php?page=Enkel+inloggning+med+MySql+och+sessioner如何进行简单登录。

但是当我现在尝试登录时，它说用户名或密码错误。所以我猜在我的控制文档中有些东西是不对的，我在那里检查数据库的用户名和密码。

在我查看的示例中，它们都在同一页面中，所以我猜我需要更改的内容比我想的要多。

这是登录端的代码：

<?php
session_start();
?>
<!DOCTYPE html>
<html>
    <head>
        <meta charset="utf-8" />
        <title></title>
        <link href="stylesheet.css" media="screen" rel="stylesheet" type="text/css" />
    </head>
    <body>
        <?php
        if(!isset($_SESSION["sess_user"])){
            if(isset($_GET['badlogin'])){
                echo "Fel användarnamn eller lösenord, försök igen!";
            }
        ?>
            <form method="post" action="check.php">
            <p>User</p>
            <input name="user" type="text" />
            <p>Password</p>
            <input name="password" type="text" />
            <input name="logIn" type="submit" value="Log in" />
            </form>
        <?php
        }
        else{
            header("Location: admin.php");
        }
        ?>
    </body>
</html>

这是我控制端的代码：

<?php
session_start();
?>
<?php
function db_escape($post){
    if(is_string($post)){
        if(get_magic_quotes_gpc()){
            $post = stripslashes($post);
        }
        return mysqli_real_escape_string($post);
    }
    foreach($post as $key => $val){
        $post[$key] = db_escape($val);
    }
    return $post;
}
if(isset($_POST["logIn"])){
    // Connect to db
    $dbConn = mysqli_connect("localhost","sabe0011","lösen","sabe0011");
    $dbConn->set_charset("utf8");

    // Check connection
    if(mysqli_connect_errno($dbConn)){
        echo "Failed to connect to MySQL: " . mysqli_connect_error();
    }

    $_POST = db_escape($_POST);
    $checkUserSQL = mysqli_query($dbConn, "SELECT * FROM Users WHERE User ='{$_POST['user']}' AND Password ='{$_POST['password']}'");

    if(mysqli_num_rows($checkUserSQL) == 0){
        header("Location: login.php?badlogin=");
        exit;
    }

    $_SESSION['sess_id'] = mysqli_store_result($checkUsersSQL, 0);
    $_SESSION['sess_user'] = $_POST['user'];
    header("Location: admin.php");
    exit;
}
?>
4

1 回答 1

1

您在查询中的参数应该像这样转义：

$checkUserSQL = mysqli_query($dbConn, "SELECT * FROM Users WHERE User =" . $_POST['user'] . " AND Password = " . $_POST['password']);

但在安全性方面，您必须在此处查看准备好的查询。

于 2013-05-12T17:05:03.073 回答