[PHP & SQL] Deze PHP code herkend ingevoerde gebruiker niet

[Oyster]

Jongens,

De hele dag ben ik al bezig met dit stukje code en ik kom er niet uit. De gebruiker + pass staan ingevoerd in de dB. Verbinding maken gaat oke. Helaas springt de code direct naar de "ongeldige gebruikersnaam" - else, zodra ik een gebruiker + pass invoer. Ik weet dat ik iets over het hoofd zie, maar ik weet niet wat. Jullie een idee?

code:

function password($username, $passgecodeerd) { 
    verbind(); // 

    $pass_uit_database = ""; // Zekerheid 

    // SQL instr: haalt het wachtwoord uit de database van de opgegeven username 
    $sql = "SELECT password FROM leden WHERE username LIKE '$username' ORDER BY id DESC"; 
    $resultaat = mysql_query($sql) or die(mysql_error()); 

    if ($row = mysql_fetch_object($resultaat)) { 
        // password md5en 
        $pass_uit_database = md5($row->password); 

        if($passgecodeerd == $pass_uit_database) {  // match de passwords uit de db en uit de session 
            return TRUE;   
        } 
        else { 
            echo "Geen geldige combinatie van gebruikersnaam en wachtwoord"; 
            return FALSE; 
        } 
    } 
    else { 
        echo "ongeldige gebruikersnaam"; 
        return FALSE; 
    } 
} 

?>

[justmental]

Als ik het goed zie sla je je paswords plaintext op en gat je ze bij het ophalen hashen vreemde constructie.

[ Voor 26% gewijzigd door justmental op 02-09-2004 22:38 ]

[We Are Borg]

PHP:

$sql = "SELECT password FROM leden WHERE username LIKE '$username' ORDER BY id DESC";

Moet dit niet zijn:

PHP:

$sql = "SELECT password FROM leden WHERE username='".$_GET['username']."' ORDER BY id DESC";

of

PHP:

$sql = "SELECT password FROM leden WHERE username='".$_POST['username']"' ORDER BY id DESC";

?

[ Voor 54% gewijzigd door We Are Borg op 02-09-2004 23:01 . Reden: " != ' ]

[NMe]

[hier stond wat doms]

[ Voor 83% gewijzigd door NMe op 02-09-2004 23:08 ]

[Kuhlie]

We Are Borg schreef op 02 september 2004 @ 23:00:

PHP:

$sql = "SELECT password FROM leden WHERE username LIKE '$username' ORDER BY id DESC";

Moet dit niet zijn:

PHP:

$sql = "SELECT password FROM leden WHERE username='".$_GET['username']."' ORDER BY id DESC";

of

PHP:

$sql = "SELECT password FROM leden WHERE username='".$_POST['username']"' ORDER BY id DESC";

?

Nee, want het gaat hier om een functie met o.a. als argument $username.


Verder: waarom debug je niet gewoon? Print eens wat, bijv. de username die je in je functie binnenkrijgt. Voer die sql-query eens met de hand uit. Dat soort dingen.

[ Voor 19% gewijzigd door Kuhlie op 02-09-2004 23:04 . Reden: 'probeer de sql-query uit' toegevoegd ]

[Verwijderd]

We Are Borg schreef op 02 september 2004 @ 23:00:

Moet dit niet zijn....

Waarschijnlijk niet, $username wordt als argument meegegeven aan de functie.

[We Are Borg]

Verwijderd schreef op 02 september 2004 @ 23:05:
[...]

Waarschijnlijk niet, $username wordt als argument meegegeven aan de functie.

Ik heb domweg over zijn eerste regel code gelezen. Mijn fout idd

[NMe]

Waarom gebruik je eigenlijk "WHERE username LIKE '$username'"? Je hebt geen %-teken erin staan, dus je kan net zo goed gewoon = gebruiken. Doet ie het dan niet wel gewoon?

[GlowMouse]

Als het goed is krijg je maar 1 rij terug, dus sorteren heeft geen zin. Ook kun je direct uit de database een MD5 waarde halen. Misschien is dit een betere query:

PHP:

$sql = "SELECT count(*) FROM leden WHERE username='$username' AND password=md5('$password')";

[Verwijderd]

echo $username en $passgecodeert eens, komen deze (correct) binnen?

[CrashOne]

Ik neem aan dat je wachtwoorden gehashd in de DB staan? Dan hoef je $pass_uit_database niet meer te hashen.