MySQL数据库检查

Question

这是我的代码，

$username = $_POST['user'];
$password = $_POST['pass'];

if (isset($_POST['user'])); {
    $db = mysqli_connect('localhost', 'root', '', 'db');
    if($query = mysqli_query($db, "SELECT `pass` FROM `accounts` WHERE `user` = '$username'")){
      while($row = mysqli_fetch_assoc($query)){
        $row['pass'] = $setpassword;
      }
      mysqli_free_result($query);
    }
}

它当前的作用是从表单中检索用户输入的用户名和密码，获取该用户名并找到具有该用户名的行，然后从该行获取密码并将其设置为变量 $setpassword。下面的代码用于检查密码是否与数据库中给定的用户名匹配。

if ($password=='') {
    $verify = 0;
}

if ($password!='') {
    if ($password!=$setpassword) {
        $verify = 1;
    }
    if ($password==$setpassword) {
        $verify = 2;
    }
}

如果验证是... 0 - 登录表单将显示为未输入任何内容。 1 - 错误的密码将与登录表单一起显示。 2 - 将显示正确的密码，并将用户名分配给会话变量。

我遇到一个问题，用户可以输入不存在的用户名和任何密码（无论是否在数据库中），并且都会进行验证。

如何检查数据库中不存在用户名？

Answer 1

当您接受用户注册时，查询数据库以查看它是否已经存在。

$result = mysqli_query("SELECT * FROM accounts where `user` = $username");

if(mysql_num_rows($result) >0) // if there are any rows returned then the username exists
{ 
    //User Name already exists
}
else
{
   //User name doesn't exist, add user
}

我不确定这是你做那件事的地方。但要消除重复项，您可以这样做。此外，您还可以将列用户定义为唯一。这样 SQL 将不允许重复值。

还有这一行：

$row['pass'] = $setpassword; //setting $row['pass'] to $setpasswords value.

这是相反的。你应该反过来做。

 $setpassword = $row['pass']; //setting setpassword to $row['pass'] value.

如果我需要澄清任何事情，请告诉我。

Answer 2

试试这个：

$username = isset($_POST['user'])?$_POST['user']:''; // check if isset to avoid notice
$password = isset($_POST['pass'])?$_POST['pass']:'';
$verify = 0; 

if (!empty($username)) {
    $db = mysqli_connect('localhost', 'root', '', 'db');
    if($query = mysqli_query($db, "SELECT `pass` FROM `accounts` WHERE `user` = '$username'")) { 
    while($row = mysqli_fetch_assoc($query)){
       $setpassword = $row['pass'];
       break; // exit the loop once you found the password
    }
    mysqli_free_result($query);    
} 

if (isset($setpassword)) {
   $verify = 1;       
   if ($password == $setpassword) {
      $verify = 2;
   }
}

Answer 3

if (isset($_POST['user'])); { 

这一行有一个额外的分号，使得整个代码无法

进行验证，您所需要做的就是检索密码并将其与输入的密码进行比较：

$row = mysqli_fetch_assoc($query));
if ($row AND $row['pass'] == $password)
  $verify = 1;
}

请注意，$row可能是空的，因此，您必须先检查它

但是，您可以在查询中进行这两种比较，如下所示

"SELECT * FROM accounts where `user` = $username" AND `pass` = '$password';

但是，您的代码存在两个常见问题。

1. 最好保存哈希值而不是纯密码。

2. 在将数据添加到查询中之前，您应该清理数据

至少以这种方式清理数据：

$username = mysqli_real_escape_string($db,$_POST['user']);