Passwort Validation - Ähm ja ok...

Tenchuu · 3. Januar 2019

Hallo,

komischerweise ist jedes Passwort valide obwohl es eigentlich Invalide ist. Was mache ich falsch?

PHP

<?php






$connection = new PDO('mysql:host=localhost;dbname=asasas', 'asasasas', 'asasasas');






if (isset($_GET["username"]) && !empty($_GET["password"])) {
    $username = $_POST["username"];
    $password = $_POST["password"];
    $hash = password_hash($password, PASSWORD_DEFAULT);  
    echo $hash;
} else {  
    echo 'Einfach mal nö';
}






$stmt = $connection->prepare("SELECT * from users WHERE `username` = :username AND password = :password");
$stmt->bindValue(":username", $username);
$stmt->bindValue(":password", $hash);
$stmt->execute();






if (password_verify($password, $hash)) {
    echo '1';
}
else {
    echo '0';
}
?>

Alles anzeigen

Devine_ · 3. Januar 2019

Du arbeitest an keiner Stelle mit der Rückgabe deines SQL Befehles.

palwal · 4. Januar 2019

Die functions password_hash() und passwort_verify hätten mich schon gern mal interessiert.

Grundsätzlich kannst es aber so machen:

PHP

$stmt = $connection->prepare("SELECT * from users WHERE `username` = :username);
$stmt->bindValue(":username", $username);
$stmt->execute();
$result = $stmt->fetch(PDO::FETCH_OBJ);
if($result->password == $hash) {
     echo 1; //Passwort korrekt
} else {
     echo 0; //Passwort falsch
}

linux_ · 4. Januar 2019

Du verwendest einmal $_GET und $_POST

Tenchuu · 4. Januar 2019

Hab schon gefixxt. Danke!

breadfish.de 12. März 2022