0

我的网络系统有这个问题。作为管理员，我的目的是注册一些用户给他们username,password和. 我这样做是正确的，因为所有记录都正确插入。但是，当我尝试以这些用户之一的身份访问时，我无法进入，并收到消息"用户名和密码不匹配"。这是我的登录检查代码：firstnamelastname

      if (isset($_POST['username']) && isset($_POST['password'])) {
            $username = $_POST['username'];
            $password = $_POST['password'];
            $_SESSION['username'] = $_POST['username']; 
            if ((!$username) || (!$password)) {
                do_html_header('');

                echo '<h3 style="color:#800000;">Please fill in both fields</h3><br><br></br></br>';
                display_login_form();
            }       
            else {
            $sql = mysql_query('SELECT * FROM members WHERE username="'.$_POST['username'].'" AND password=sha1("'.$_POST['password'].'")') or die(mysql_error());
            $login_check_member = mysql_num_rows($sql);
            if($login_check_member > 0) {
                     while($row = mysql_fetch_array($sql)) {
                        $role = $row["role"];
                        $_SESSION['role'] = $role;
                    }
                }
                else { // Run this code if login_check is equal to 0 meaning they do not exist
                do_html_header('');

                echo '<h3 style="color:#800000;">The Username And Password do not match.</h3><br><br></br></br>';
                display_login_form();

                }

显然，我的 while 循环有问题。但是对于通过 wampserver 的 MySql 控制台插入到我的数据库中的那些用户，它确实可以正常工作。该问题仅存在于通过网站插入的用户。我用来插入新用户（服务器）的代码部分是：

$username = $_POST['username'];
$password = $_POST['password'];
$firstname = $_POST['firstname'];
$lastname = $_POST['lastname'];
$role = $_POST['role'];


$conn = mysql_connect("localhost", "root", "");
$db=mysql_select_db("buzzcafe" ,$conn);

 //$username= $_SESSION['username'];

if (isset($_POST['username'])) {
 if (isset($_POST['password'])) {
  if (isset($_POST['firstname'])) { 
    if (isset($_POST['lastname'])) { 
        if(isset($_POST['role'])) {

        $insertServer = mysql_query("INSERT INTO servers (username,password,firstname,lastname,role) VALUES('".$username."',sha1('".$password."'),'".$firstname."','".$lastname."','".$role."')")or die(mysql_error());
                echo "<h5 style=color:#800000><i>The server ".$username." is now registered </i></h5>";
                display_manager_menu();
            }

        }
    }
 }
}

请问有什么想法吗？

4

1 回答 1

0

  1. 查看您INSERT的数据表（“服务器”）。它与您从中SELECT获取数据的表不同（“成员”）。

  2. 不要使用该mysql_query功能，因为它已弃用。尝试改用PDO或mysqli_query。

  3. 永远不要在查询中使用未经过滤的输入。

  4. 尝试为您的登录/注册表单使用更安全的功能（例如 bcrypt 或 password_hash）。看这里。

于 2013-09-29T22:49:33.110 回答