sha('$password') 返回空集

Question

我有两个问题。 问题一： 我正在尝试创建一个注册表单，用户可以在我的网站上注册。 当我运行此 mysql 语句时，发现错误：

$sql "insert into users(username, password) values('$username, sha('$password'))";

重复条目 'da39a3ee5e6b4b0d3255bfef95601890afd80709' for key 'password' 尽管我多次更改了字符串 sha('$password') 。 请帮忙。

else{
   include("databaseconnection.php");
   $databaseconnect = connect($host,$user,$password,$database)
      or die("couldnot connect to database serever.\n");
   $database_select = mysql_select_db($database,$databaseconnect)
      or die("could not select dabases.\n " .mysql_error());
   $query2 = "insert into company(username,password)
      values('$username',sha1('$password'))";
   $result2 = mysql_query($query2,$databaseconnect);
   echo "you have been registered as '$companyloginName' <br/>";
   header("Location:/index.php");

我的登录php脚本如下：

   $result ="select username, password form users where username ='$username' and password = sha('$password');
    if(mysql_num_rows($reuslt)==1){
   echo"welcome '$username";
    }

Answer 1

首先，我强烈建议不要单独使用 MySQL 的 sha() 或 PHP 的 sha1() 来进行密码哈希处理。 如果您的数据库遭到破坏，这对您的用户来说将是一个巨大的安全风险。

请花点时间阅读我之前关于密码哈希主题的回答以正确保护您的数据。

---

其次，您的代码容易受到 SQL 注入攻击。使用 mysql_real_escape_string() 转义之前要放入查询中的变量-手。

$query2 = "insert into company(username,password)
  values('" . mysql_real_escape_string($username) .
          "', sha1('" . mysql_real_escape_string($password) . "'))";

---

第三，您的 $password 变量被 databaseconnection.php 文件覆盖。

include("databaseconnection.php");
$databaseconnect = connect($host,$user, $password ,$database);

为了强调...

$databaseconnect = connect($host,$user,$password,$database);< /p>

因此，<稍后在查询中使用的 code>$password 仍然包含数据库连接的密码，而不是用户的密码。

更改databaseconnection.php中变量的名称，或者更好的是，使用数组来保存所有配置。

$dbConnectParams = array('host' => 'localhost'
                         'user' => 'myUser',
                         'pass' => 'myPassword',
                         'db' => 'myDB');

然后，按如下方式更改代码：

include("databaseconnection.php");
$databaseconnect = mysql_connect($dbConnectParams['host'],
                           $dbConnectParams['user'],
                           $dbConnectParams['pass'],
                           $dbConnectParams['db']);

由于在调用mysql_connect()时已经传递了数据库，因此不需要调用mysql_select_db()。

Answer 2

da39a3ee5e6b4b0d3255bfef95601890afd80709 是空字符串的 sha1 哈希值。确保您确实将密码插入到 SQL 查询中，例如通过回显查询而不是将其发送到 SQL 服务器。

编辑将新信息添加到您的问题后，请检查这两行：

include("databaseconnection.php");
$databaseconnect = connect($host,$user,$password,$database)

这里，$password 是用于连接到数据库的密码 。包含databaseconnection.php可能会覆盖之前在$password变量中的内容。

尝试echo $query2，您可能会亲眼看到，SQL 查询根本不包含任何密码，或者其中的密码与用户输入的密码不同。

Answer 3

从注释行猜测，您可能不小心使用了“databaseconnection.php”中设置的连接密码而不是用户密码 - 您没有显示如何初始化 $password 字符串。

另请注意您的sql中不应该出现的逗号：

insert into company(username,password,)
                                     ^

我还没有测试这是否是原因，但您可能应该摆脱它并再次测试它。

另外，请认真考虑 pdo/prepared 语句以防止 sql 注入，如果您想从用户输入插入密码，则更是如此。