验证用户/更新表

Question

我有简单的重置密码结构，供用户在丢失时更新其现有密码。用户转到输入电子邮件的链接，系统会为忘记密码的用户创建一个令牌并将其存储在指定表中。系统会向用户发送一封电子邮件，其中包含附加令牌的链接，当用户点击该链接时，系统会将他们带到一个重置密码的页面。如果数据库中存储的令牌与 $_GET 中的令牌匹配，我允许他们重置密码。简单的。

问题是我无法更新数据库中的特定行。我试图通过检查他们输入的电子邮件与数据库中的电子邮件来识别他们。我能够更新整个表的密码行，但是当指定一个用户时它会失败。

if(isset($_POST['sub_settings'])){

    $query = "SELECT * FROM `Password_Reset` WHERE `token` = '".$token."' AND `email` = '".$user_email."'";
    $request = mysql_query($query,$connection) or die(mysql_error());
    $result = mysql_fetch_array($request);

    $token = $result['token'];
    $alpha = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcedfghijklmnopqrstuvwxyz1234567890";
    $rand = str_shuffle($alpha);
    $salt = substr($rand,0,40);
    $hashed_password = sha1($salt . $_POST['password']);
    $user_email = $result['email'];



    if($_GET['token'] == $token) {
        header("Location: index.php");
        exit;

    }else{

    if(empty($_POST['Password'])) {
        $valid = false;
        $error_msgs[] = 'Whoops! You must enter a password.';
    }

    if($_POST['Password'] != $_POST['passwordConfirm'] || empty($_POST['Password'])) {
        $valid = false;
        $error_msgs[] = "Your password entries didn't match...was there a typo?";
    }

    if($valid) {
        $query = "UPDATE `Users` SET `encrypted_password` = '$hashed_password' WHERE `Email` = '$user_email'";

        mysql_query($query,$connection);
    }


    }
}

预先非常感谢

Answer 1

为什么不将用户 ID 存储在 Password_Reset 表中，然后根据该 ID 更新用户，而不是尝试匹配该电子邮件。

请注意，如果您尝试匹配用户电子邮件，则电子邮件大小写必须与查询中的“=”完全匹配。您可以将电子邮件地址小写，但这在技术上是不正确的。

$query = "
    SELECT *
    FROM `Password_Reset`
    WHERE `token` = '".$token."' AND LOWER(`email`) = LOWER('".$user_email."')
";

Answer 2

看起来您没有大写 $_POST['Password']

$hashed_password = sha1($salt . $_POST['password']);

根据您的其他代码，它应该是：

$hashed_password = sha1($salt . $_POST['Password']);

另外在您的 SELECT 中，您有 email ，在 UPDATE 中您使用 Email . MySQL 在非 Windows 平台上默认区分大小写。

Answer 3

看起来您的第一个查询中有 $user_email 但它尚未设置，因为您正在使用第一个查询的结果来设置它。除非你的意思是$_POST['user_email']？

使用 user_id 会更容易、更安全，并且只向用户实际在您的系统中的情况发送令牌（看起来您正在向每个人发送令牌！）

您的令牌应该是唯一的。看起来完全是随机的。制作令牌的一个好方法是创建一个随机字符串 + 唯一标识用户的内容（例如用户名或电子邮件），然后使用 MD5 或类似函数对其进行哈希处理。它相当安全，并且可以识别用户本身，因此您只能通过令牌查找它们。

Answer 4

 if($_GET['token'] == $token) {
        header("Location: index.php");
        exit;

我想应该是 != 。
您需要检查令牌是否不等于数据库中的令牌。不是吗？