Ist dieser Code Safe?

Nun, das irgendwas musst du dann wohl genauer untersuchen. Lass dir z.B. Zwischenwerte ausgeben.

nikeboycookie

Beitragsersteller

27.10.2023, 18:06

@regex9

Hab es hinbekommen. Danke

nikeboycookie

Beitragsersteller

27.10.2023, 16:00

bei jeder Anfrage werden die Daten geprueft

NoArtFX

27.10.2023, 17:06

$sql = "SELECT * FROM users WHERE email = '$email'";

Niemals Benutzereingaben einfach so an einen String hängen!

Du ermöglichst damit SQL-Injections.

Ansonsten: Der HTTP Code 303 könnte irreführend sein, da du damit einen Redirect vorgibst.

Ebenfalls der Error Code 0 ist kein HTTP Code.

Da kommt jetzt noch drauf an, was passiert, wenn du den Error Code 0 zurückgibst. Da lässt sich gerade nicht sagen ob das sicher oder unsicher ist.

Woher ich das weiß:Studium / Ausbildung – Bachelor-Student in Informatik

nikeboycookie

Beitragsersteller

27.10.2023, 17:38

nach 0 passiert in unity das
Debug.Log("Successfull);

DBManager.Instance.Email = email;

SceneManager.LoadScene(1);

NoArtFX

27.10.2023, 17:46

Ah hab überlesen, dass es sich um ein Unity Projekt handelt.

Da kenn ich mich nicht aus, aber ausser der SQL Injection seh ich grad weniger Probleme auf PHP Seite.

Wichtig ist einfach, dass du eine SSL Verbindung zum Server aufbaust, also dass dein PHP Script, bzw. der Webserver wo dein PHP Script drauf ist, ein SSL Certificate hat.

nikeboycookie

Beitragsersteller

27.10.2023, 18:01

@NoArtFX

Ja hat es durch cloudflare

evermore90

27.10.2023, 14:45

Hinsichtlich Cyber Security Standarts? Nein, nicht so sehr.

Du machst doch gar nichts um die verbindung zum server zu sichern. Du liesst doch nur krams aus der datenbank aus, checkst, ob das Passwort richtig ist oder nicht und fertig. Du verhinderst nicht das Hacker die Datenbank einfach auslesen.

nikeboycookie

Beitragsersteller

27.10.2023, 14:51

Von cyber security hab ich leider nicht so eine Ahnung, da das mein erstes Login System ist. Wie kann ich es denn verbessern?

W00dp3ckr

27.10.2023, 14:47

Da ist so Einiges. Du erhöhst die Sicherheit, wenn der Code auf der Clientseite schon gehasht wird.

Aber wichtiger ist: Es geht ja nicht darum, ob Du eine gewisse Seite herausgibst, sondern Du möchtest bei allen Seiten unterschiedlichen Inhalt ausgeben, je nachdem ob die Person eingeloggt ist. Dafür gibt es üblicherweise Frameworks, die Dir dabei helfen.

Die $email so als Teil der SQL-Abfrage zu nutzen macht Deinen Code verwundbar für SQL Injection.

smiregal8472

20.03.2024, 18:41

Du erhöhst die Sicherheit, wenn der Code auf der Clientseite schon gehasht wird.

Damit würde sich die Sicherheit um exakt 0 erhöhen.

Vollkommen egal, ob das Kennwort oder ein Hash übertragen und dann serverseitig abgeglichen wird, sollte sich jemand in die Leitung hängen, dann läuft beides exakt auf's gleiche raus.

Und das wäre noch der beste Fall.

W00dp3ckr

20.03.2024, 18:44

Na, da bist Du aber gedanklich etwas limitiert, was Angrifsszenarien angeht. Stell Dir vor, Du hast Datenabfluss, dann macht der Hash schon einen immensen Unterschied.

smiregal8472

20.03.2024, 18:51

@W00dp3ckr

dann macht der Hash schon einen immensen Unterschied.

Wie sollte er?

Wenn du den Hash zum Server überträgst um ihn dann dort abzugleichen, dann brauchst du beim Aufzeichnen des Datenflusses auch nur den Hash abzugreifen und schon kannst du dich beim Server authentifizieren.

Was glaubst du, warum heutzutage so ziemlich alles über HTTPS läuft statt unverschlüsselt?

W00dp3ckr

20.03.2024, 19:04

Ich gehe einfach mal davon aus, dass jemand mit Hirn das über HTTPS laufen lässt. Alles Andere ist momentan eh ein Kunstfehler. Viele Frameworks erlauben das gar nicht mehr.

Aber zu den Passwort-Hashes: Wenn Du Datenabfluss hast, und Die Passwörter nicht gehasht waren, bekommst Du Ärger. Ganz einfach. Weil die Passwörter im Klartext sehr viel “brauchbarer” sind als gehashte PWs mit Salz.

Wenn Du mir das nicht glaubst, dann google das mal, bekommst Du sicher hin.

smiregal8472

20.03.2024, 19:07

@W00dp3ckr

Diese Hashes von denen du sprichst liegen auf dem Server.

Den Hashvorgang bereits Clientseitig durchzuführen bringt im besten Fall gar keine Verbesserung der Sicherheit und im schlimmsten Fall eine massive Verschlechterung derselben.

P.S.: Googlen kannst du mal schön selber machen, da liegt bei dir offensichtlich weit mehr Notwendigkeit für vor...

W00dp3ckr

20.03.2024, 19:49

LOL. Also ganz langsam. Dass ein Passwort irgendwo abgegriffen wird, das kann passieren. Da hilft dann auch kein Hash, damit ist dann EIN Nutzer kompromittiert. Wenn der Hash mit Salt verwendet wird, ist er aber auch nur auf EINER Seite kompromittiert. Mit dem ohne Hash und ohne Salt, ist es dann ein Problem für einen Nutzer auf potentiell vielen Websites.

Das, wovor man als Betreiber einer Webseite mit personenbezogenen Daten wirklich Angst hat, ist, dass jemand sie hackt, und dann die Passwörter im Klartext abfließen, die dann zusammen mit den ebenfalls gespeicherten Mailadressen für Scam oder auch einfach für das Einloggen bei möglichst vielen anderen Seiten genutzt werden können. Das kann man mit den Hashes sehr stark erschweren, wenn der Hash groß genug ist, die Passwörter lang genug sind und Salz verwendet wird.

smiregal8472

20.03.2024, 19:57

@W00dp3ckr

Meine Fresse, genau das sag ich ja.

Du hast aber behauptet, dass das Hashen auf Clientseite zur Verbesserung der Sicherheit beitragen würde. Und das ist einfach nur völliger Mumpitz.

Aber hier nochmal, damit du's auch kapierst:

Der Client überträgt das Kennwort zum Server.
Der Server hasht das Kennwort und gleicht das Ergebnis mit dem zur Benutzer-ID gehörenden Hash aus seiner Datenbank ab.
Entweder stimmen gespeicherter und berechneter Hash überein, dann ist der Login erfolgreich, ansonsten nicht.

W00dp3ckr

20.03.2024, 21:54

Und wann ist es schlechter den Hash im Client zu berechnen? Wenn auf dem Weg der Hash abgegriffen wird, ist nur der Hashwert kompromittiert, nicht das PW. Aber wie wir uns einig sind ist der Sicherheitsgewinn davon marginal. Und SSL muss benutzt werden. Danke, dass Du mir meinen Job erklärst, vielleicht finden sich ja noch andere, denen Du alles ganz genau und von oben herab erklären kannst.

smiregal8472

20.03.2024, 22:04

@W00dp3ckr

Der Sicherheitsgewinn ist nicht marginal, sondern exakt 0.

Der einzige "Sicherheitsgewinn", den man hierbei haben könnte, wäre der, dass der Datenangreifer sich zwar bei dem einen Server authentifizieren könnte, ohne das Kennwort zu kennen, aber nicht bei anderen Servern, bei denen der Benutzer ebenfalls das Kennwort "1234567" verwendet.

Aber in diesem Fall müsste der Client natürlich auch das Salz kennen, das verwendet wurde, was den Aufwand bei dieser Herangehensweise unverhältnismäßig höher als den wirklichen Nutzen treiben würde.

Und wenn du tatsächlich einen Fall suchst, in dem clientseitiges Hashen einen definitiven Nachteile hat: Das wäre der Fall, wenn der Client für jeden Authentifizierungsvorgang ein neues Salz generieren würde. Denn dann müsste dem Server das ungehashte Kennwort vorliegen.

Würde zwar (hoffentlich) niemals jemand so implementieren, aber es gibt immer den einen wahnsinnigen Idioten, man weiß nur nicht wo und wann er zuschlägt.

geheim007b

27.10.2023, 16:38

nein, der Code ist alles andere als sicher. du quotest die eingabe nicht, das ist ein klassischer SQL Injection fall

nikeboycookie

Beitragsersteller

27.10.2023, 16:43

eine Frage ist sql injection bei Register quch ein ding? Denke nein oder?

geheim007b

27.10.2023, 17:23

bei register?

du darfst usereingaben nie ungeprüft in eine SQL Abfrage überführen

W00dp3ckr

20.03.2024, 19:50

Unity Loginsystem mit PHP 500 Error?

Ganz allgemein kannst Du SQL Injizieren, wenn ein Parameter aus dem Web ungeprüft verwendet wird.

Ähnliche Beiträge

Hallo, wisst ihr vielleicht warum dieser Code nicht funktioniert?

Ich habe einen Root Server mit MariaDB, PHP 8.2 und phpMyAdmin.

Das ist mein Servercode:

<?php

  $servername = "localhost";
  $username = "blabla";
  $password = "blabla";
  $dbname = "blabla";

  // variables submited by user
  $loginUser = $_POST["loginUser"];
  $loginPass = $_POST["loginPass"];

  // Create connection
  $conn = new mysqli($servername, $username, $password, $dbname);

  // Check connection
  if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
  }

  echo "Conected successfully, now we will show the users.<br><br>";

  $sql = "SELECT password FROM users WHERE username = " . $loginUser;
  $result = $conn->query($sql);

  if ($result->num_rows > 0) {
    // output data of each row
    while ($row = $result->fetch_assoc()) {
      if ($row["password"] == $loginPass) {
        echo "login Success";
      }
      else {
        echo "wrong credentials";
      }
    }
  }
  else {
    echo "Username does not exist";
  }

  $conn->close();
?>

Das ist mein Unity-Code:

void Start()
{
  // A correct website page.
  StartCoroutine(Login("testuser", "123456"));
}

IEnumerator Login(string username, string password)
{
  WWWForm form = new WWWForm();
  form.AddField("loginUser", username);
  form.AddField("loginPass", password);

  using (UnityWebRequest www = UnityWebRequest.Post("http://blabla/Login.php", form))
  {
    yield return www.SendWebRequest();

    if www.result != UnityWebRequest.Result.Success)
    {
      Debug.Logwww.error);
    }
    else
    {
      Debug.Logwww.downloadHandler.text);
    }
  }
}

In Unity bekomme ich folgende Fehlermeldung:

Und wenn ich auf das PHP-Dokument im Internet gehe:

Danke für eure Hilfe.

Delete/Insert/Update/Search, altmodisch gelöst? Verbesserungsvorschläge?

Mehrere Formularfunktionen in PHP:

Delete:

  if ($_SERVER["REQUEST_METHOD"] == "POST" && isset($_POST["kunden_id"])) {
    $kunden_id = $_POST["kunden_id"];
    $sql = "DELETE FROM kunden WHERE kunden_id=$kunden_id";

    if ($conn->query($sql) === TRUE) {
      echo "Record deleted successfully";
    }
    else {
      echo "Error deleting record: " . $conn->error;
    }
  }

  $conn->close();
?>

Insert:

  if ($_SERVER["REQUEST_METHOD"] == "POST") {
    $vname = $conn->real_escape_string($_POST['vname']);
    $nname = $conn->real_escape_string($_POST['nname']);
    $age = $conn->real_escape_string($_POST['age']);
    $sql = "INSERT INTO kunden (vname, nname, age) VALUES ('$vname', '$nname', '$age')";

    if ($conn->query($sql) === TRUE) {
      echo "Neuer Kunde erfolgreich hinzugefügt";
    }
    else {
      echo "Fehler: " . $sql . "<br>" . $conn->error;
    }
  }

  $conn->close();
?>

Update:

  if ($_SERVER["REQUEST_METHOD"] == "POST" && isset($_POST["kunden_id"]) && isset($_POST["vname"]) && isset($_POST["nname"]) && isset($_POST["age"])) {
    // Kunden-ID und neue Daten aus dem Formular abrufen
    $kunden_id = $_POST["kunden_id"];
    $vname = $_POST["vname"];
    $nname = $_POST["nname"];
    $age = $_POST["age"];

    // SQL-Update-Statement vorbereiten
    $sql = "UPDATE kunden SET vname='$vname', nname='$nname', age='$age' WHERE kunden_id=$kunden_id";

    if ($conn->query($sql) === TRUE) {
      echo "Record updated successfully";
    }
    else {
      echo "Error updating record: " . $conn->error;
    }
  }

  $conn->close();
?>

Search:

  if (isset($_POST['search'])) {
    $search = $_POST['search'];
    $sql = "SELECT kunden_id, vname, nname, age FROM kunden WHERE nname LIKE '%$search%' ORDER BY kunden_id";
  }
  else {
    $sql = "SELECT kunden_id, vname, nname, age FROM kunden ORDER BY kunden_id";
  }

  $result = $conn->query($sql);

  if ($result->num_rows > 0) {
    echo "<table border='1'>
      <tr>
        <th>Kunden ID</th>
        <th>Vorname</th>
        <th>Nachname</th>
        <th>Alter</th>
      </tr>";

    while ($row = $result->fetch_assoc()) {
      echo "<tr>
        <td>" . $row["kunden_id"]. "</td>
        <td>" . $row["vname"]. " </td>
        <td>" . $row["nname"]. "</td>
        <td>" . $row["age"]. "</td>
      </tr>";
    }

    echo "</table>";
  }
  else {
    echo "0 Ergebnisse";
  }

  $conn->close();
?>
<form method="post">
  <input type="text" name="search" placeholder="Nachname eingeben...">
  <button type="submit">Suchen</button>
</form>

SQL Code richtig?

Hier ist PHP Code, den ich geschrieben hab:

$connection = new mysqli("localhost", "...", "...", "...");
$username = $_POST['username'];
$email = $_POST['email'];
$password = $_POST['password'];
$time = time();
$sql = "INSERT INTO User (Name, Email, Password, Created) VALUES ($username, $email, $password, $time)";
$connection->query($sql);
$connection->close();

Aber der sagt dann dass im SQL Code

$sql = "INSERT INTO User (Name, Email, Password, Created) VALUES ($username, $email, $password, $time)";

Ein Syntax Fehler ist.

Wo ist der Fehler?

Hi ich habe ein sign up und login system für eine website mithilfe von xamp, mysqli und php gebaut, dass signup system mit error messages und allem funktioniert auch, aber das login system nicht. Wenn ich mich versuche einzuloggen passiert nichts und wenn ich absichtlich falsche login daten eingebe passiert ebenfalls nichts. Ich weiß nicht woran das liegt und bräuchte echt hilfe. Wenn jemand meinen Code braucht einfach bescheid sagen :/

Warum kann dieser php code keine Verbindung zur Datenbank herstellen?

Ich sitze hier und verzweifle förmlich daran, warum sich die eingegebenen Daten aus:

<!DOCTYPE html>
<html>
  <head>
    <h1>Der Weg ins Paradies</h1>
    <link rel="stylesheet" href="GL.css">
  </head>
    <p>Die Welt dadraußen ist trist, doch <br> sein kein Schaf, sei ein Wolf</p>
    <form method="post" action="Registrierungsseite.php">
      <p><label>Name:<br><input type="text" name="Name"></label></p>
      <p><label>E-Mail:<br><input type="text" name="Mail"></label></p>
      <p><label>Passwort:<br><input type="password" name="Passwort"></label></p>
      <p><label>IBAN:<br><input type="text" name="IBAN"></label></p>
      <p><input type="submit" value="Registrieren"></p>
    </form>
  </body>
</html>

nicht in der MySQL-Datenbank wiederfinden.

Meine PHP-Datei ist diese hier:

<?php
  // Get the form data
  $name = $_POST['name'];
  $email = $_POST['email'];
  $password = $_POST['password'];
  $iban = $_POST['iban'];

  // Connect to the MySQL database
  $db = mysqli_connect("localhost", "root", "", "paradies");

  // Check if the connection was successful
  if (mysqli_connect_errno()) {
    // If the connection failed, display an error message and exit
    echo "Failed to connect to MySQL: " . mysqli_connect_error();
    exit;
  }

  // Insert the form data into the MySQL database
  $query = "INSERT INTO paradies (name, email, password,iban) VALUES ('$name', '$email', '$password', '$iban')";

  if (mysqli_query($db, $query)) {
    // If the insert was successful, redirect the user to the login page
    header("Location: GL.php");
    exit;
  }
  else {
    // If the insert failed, display an error message
    echo "Error: " . $query . "<br>" . mysqli_error($db);
  }

  // Close the MySQL connection
  mysqli_close($db);
?>

Ich sehe den Fehler einfach nicht, da sobald man die Daten absendet, es zwar zur PHP-Datei weitergeleitet wird, dann jedoch lediglich der Code zu sehen ist. Die Datenbank hat dann natürlich auch keinen Eintrag.

Danke im Voraus.

PHP: 'Parse error: syntax error, unexpected token "}"', obwohl alles richtig ist?

<?php

  class Login {
    private $error = "";

    public function evaluate($data) {
      $email = addslashes($data['email']);
      $password = addslashes($data['password']);

      $query = "select * from users where email = '$email' limit 1 ";

      $DB = new Database();
      $result = $DB->read($query);

      if ($result) {
        $row = $result[0];

        if ($password == $row['password']) {
          $_SESSION['userid'] = $row['userid'];
        }
        else {
          $error .= "Pwrong password or Email<br>"
        }
        else {
          $error .= "Ewrong password or Email<br>"
        }

        return $error;
      }
    }

Die Fehlermeldung:

Parse error: syntax error, unexpected token "}"

in /opt/lampp/htdocs/Website/classes/login.php on line 30

Hat jemand eine Idee?

php-Zugriff auf mysql funktioniert nicht?

Ich habe folgende Funktion in PHP geschrieben:

function getName($id) {
                global $conn;
                $sql = "SELECT Vorname, Nachname FROM mitglieder WHERE ID = `$id`";
                $result = $conn->query($sql);
                if ($result->num_rows > 0) {
                    $row = $result->fetch_assoc();
                    return $row['Vorname'] . " " . $row['Nachname'];
                } else {
                    return "";
                }
            }

Aber aus irgendeinem Grund kommt immer folgende Fehlermeldung:

Warning: Attempt to read property "num_rows" on bool in C:\xampp\htdocs\***********.php on line 35

Diese Variable $conn funktioniert aber an anderer Stelle im globalen Code außerhalb dieser Funktion einwandfrei wie gewünscht und ich sehe vom Code her keinen nennenswerten Unterschied.

Was ich bereits versucht habe:

$conn als Parameter an die Funktion zu übergeben
$conn in der Funktion selber zu definieren
$conn in der Funktion selber definieren und dass $conn im globalen Code entfernen
ChatGPT nach dem Fehler fragen
Folgende Fehlerabfrage einzubauen (dabei war $conn auch in der Funktion selber und NUR in der Funktion selber definiert):

if ($conn->connect_error) {
                die("Serverfehler: " . $conn->connect_error);
            }

Das führte aber nur zu folgender Fehlermeldung:

Warning: Attempt to read property "connect_error" on null in C:\xampp\htdocs\*********.php on line 26

Hat alles nichts geholfen. Wisst ihr wo der Fehler liegt?

Alle Tabellen bei phpMyAdmin anzeigen?

Hallo, geht es vielleicht einfacher? Mit weniger Code?

<?php
  $servername = "localhost";
  $username = "root";
  $password = "";

  // Funktion um Verbindung zu prüfen und eine Nachricht auszugeben
  function checkConnection($conn) {
    if ($conn->connect_error) {
      die("Connection failed: " . $conn->connect_error);
    }
  }

  // Verbindung herstellen
  $conn = new mysqli($servername, $username, $password);
  checkConnection($conn);

  // Alle Datenbanken abrufen
  $sql = "SHOW DATABASES";
  $result = $conn->query($sql);
  echo "<h1>Datenbanken</h1>";

  if ($result->num_rows > 0) {
    while ($row = $result->fetch_assoc()) {
      $dbname = $row['Database'];
      echo "<a href='?database=$dbname'>$dbname</a><br>";
    }
  }
  else {
    echo "Keine Datenbanken gefunden.";
  }

  $conn->close();

  // Tabellen in der gewählten Datenbank anzeigen
  if (isset($_GET['database'])) {
    $dbname = $_GET['database'];
    $conn = new mysqli($servername, $username, $password, $dbname);
    checkConnection($conn);
    $sql = "SHOW TABLES";
    $result = $conn->query($sql);
    echo "<h1>Tabellen in $dbname</h1>";

    if ($result->num_rows > 0) {
      while ($row = $result->fetch_assoc()) {
        $tablename = $row["Tables_in_$dbname"];
        echo "<a href='?database=$dbname&table=$tablename'>$tablename</a><br>";
      }
    }
    else {
      echo "Keine Tabellen gefunden.";
    }

    $conn->close();
  }

  // Einträge in der gewählten Tabelle anzeigen und Eingabefelder generieren
  if (isset($_GET['database']) && isset($_GET['table'])) {
    $dbname = $_GET['database'];
    $tablename = $_GET['table'];
    $conn = new mysqli($servername, $username, $password, $dbname);
    checkConnection($conn);
    $sql = "SELECT * FROM $tablename";
    $result = $conn->query($sql);
    echo "<h1>Einträge in $tablename bearbeiten</h1>";

    if ($result->num_rows > 0) {
      echo "<form method='POST' action='save_changes.php'>";
      echo "<table border='1'><tr>";

      // Spaltenüberschriften
      $fieldinfo = $result->fetch_fields();

      foreach ($fieldinfo as $val) {
        echo "<th>{$val->name}</th>";
      }

      echo "</tr>";

      // Daten
      while ($row = $result->fetch_assoc()) {
        echo "<tr>";

        foreach ($row as $key => $data) {
          echo "<td><input type='text' name='{$key}[]' value='$data'></td>";
        }

        echo "</tr>";
      }

      // Leeres Eingabefeld für neue Einträge hinzufügen
      echo "<tr>";

      foreach ($fieldinfo as $val) {
        echo "<td><input type='text' name='{$val->name}[]' value=''></td>";
      }

      echo "</tr>";
      echo "</table>";
      echo "<input type='hidden' name='database' value='$dbname'>";
      echo "<input type='hidden' name='table' value='$tablename'>";
      echo "<input type='submit' value='Änderungen speichern'>";
      echo "</form>";
    }
    else {
      echo "Keine Einträge gefunden.";

      // Leere Tabelle mit Eingabefeldern für neuen Eintrag anzeigen
      echo "<form method='POST' action='save_changes.php'>";
      echo "<table border='1'><tr>";

      foreach ($fieldinfo as $val) {
        echo "<th>{$val->name}</th>";
      }

      echo "</tr><tr>";

      foreach ($fieldinfo as $val) {
        echo "<td><input type='text' name='{$val->name}[]' value=''></td>";
      }

      echo "</tr></table>";
      echo "<input type='hidden' name='database' value='$dbname'>";
      echo "<input type='hidden' name='table' value='$tablename'>";
      echo "<input type='submit' value='Änderungen speichern'>";
      echo "</form>";
    }

    $conn->close();
  }
?>

Ich habe ein Login gebaut. Jenen sollen wir nun ausschließlich mit AJAX verbessern. (Wir dürfen dabei nicht sowas wie JQUERY verwenden. Das wissen fehlt uns aber dafür an meisten. Vielleicht kann jemand mir dabei helfen mein Login umzubauen und zu verstehen was ich mache.

Mein Login-Quelltext:

<?php
$pdo = new PDO('mysql:host=localhost;dbname=phptest', 'root', '');

if(isset($_GET['login'])) {
  $email = $_POST['Email'];
  $passwort = $_POST['Passwort'];

  $statement = $pdo->prepare("SELECT * FROM login WHERE Email = :Email");
  $result = $statement->execute(array('Email' => $email));
  $user = $statement->fetch();

  //Überprüfung des Passworts
  if ($user !== false && password_verify($passwort, $user['Passwort'])) {
    $_SESSION['userid'] = $user['ID'];
    die('Login erfolgreich. Weiter zu <a href="index.php?site=Startseite">internen Bereich</a>');
  } else {
    $errorMessage = "E-Mail oder Passwort war ungültig<br>";
  }

}
?>
<!DOCTYPE html>
<html>
<head>
  <title>Login</title>
</head>
<body>

<?php
if(isset($errorMessage)) {
  echo $errorMessage;
}
?>

<form action="Loginseite.php?login=1" method="post">
  E-Mail:<br>
  <input type="email" size="40" maxlength="250" name="Email" required><br><br>

  Dein Passwort:<br>
  <input type="password" size="40" maxlength="250" name="Passwort" required><br>

  <input type="submit" value="Login">
</form>
</body>
</html>

PHP MySql Login / Passwort überprüfung?

Kann mir da jemand sagen wo der Fehler liegt ? Ich bin da am verzweifeln.

Login, Registrierung, Fehlermeldung, SQL Struktur habe ich alles in die Frage gepackt damit ihr einen besseren überblick habt.

login.php:

<?php
   $server = 'localhost';
   $user = 'root';
   $psw = null;
   $dbName = 'TestApp';
try {
   $conn = new PDO('mysql:host='.$server.';dbname='.$dbName.';charset=utf8', $user, $psw);
   $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
   $conn->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

    $username = htmlspecialchars(stripslashes(trim($_POST['username'])));
    $password = htmlspecialchars(stripslashes(trim($_POST['password'])));

    $statement = $pdo->prepare("SELECT * FROM user WHERE username = :username");
    $result = $statement->execute(array('username' => $username
                                    ));
    $user = $statement->fetch();
    //Überprüfung des Passworts
    if ($user !== false && password_verify($username, $password['passwort'])) {
        $_SESSION['userid'] = $user['id'];
        die('Login erfolgreich. Weiter zu <a href="geheim.php">internen Bereich</a>');
    } else {
        $errorMessage = "Nutzername oder Passwort war ungültig<br>";
    }

}catch (PDOException $e) {
    print "Error!: " . $e->getMessage() ;
    exit;
  }

Konsole :

<br />
<b>Warning</b>: Undefined variable $pdo in <b>C:\xampp\htdocs\Test\assets\php\login.php</b> on line <b>14</b><br />
<br />
<b>Fatal error</b>: Uncaught Error: Call to a member function prepare() on null in C:\xampp\htdocs\Test\assets\php\login.php:14
Stack trace:
#0 {main}
 thrown in <b>C:\xampp\htdocs\Test\assets\php\login.php</b> on line <b>14</b><br />

register.php

<?php
   $server = 'localhost';
   $user = 'root';
   $psw = null;
   $dbName = 'TestApp';
try {
   $conn = new PDO('mysql:host='.$server.';dbname='.$dbName.';charset=utf8', $user, $psw);
   $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
   $conn->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

// POST wird mit AJAX gesendet
   $username = htmlspecialchars(stripslashes((trim($_POST["username"])))) ;
   $password =  password_hash(htmlspecialchars(stripslashes((trim($_POST["password"])))) ,PASSWORD_DEFAULT) ;
   $cash =     100;

// Schreibt in die Datenbank

   $sql = "INSERT INTO user (username,password,cash) VALUES (:username,:password,:cash) ";
   $sqlvars = array("username"  => $username,
   "password" => $password,
   "cash" => $cash);
   $Abfrage = $conn->prepare($sql);
   $Abfrage->execute($sqlvars);


}catch (PDOException $e) {
  print "Error!: " . $e->getMessage() . "<br/>";
  exit;
}

SQL STRUKTUR :

Datenbankname : Test

Tabelle : user , 5 Spalten/Rows

id | int , (auto increment)
username | varchar , (unique)
password | varchar, (gehasht mit salt sha512)
cash | varchar
time | datetime, (mit current time stamp)

und ich mache alles mit AJAX.

-PDO statt mysqli

Php Hashen mit "Salz" / PASSWORD_DEFAULT?

$password = "passwort";
$hashed = password_hash($password, PASSWORD_DEFAULT);
if(password_verify($password, $hashed)){
    echo $hashed;
}

Also so würde ich jetzt den string "passwort" hashen mit etwas vollkommen zufälligem / salz und es zb auf meiner datenbank speicher, alles schön und gut.

Jetzt kommt das große aber, wenn ich die Seite von irgendwo anders aufrufe. Dann mich einloggen will wird das eingegebene wieder gehasht mit einem salz um es mit der sql datenbank abzugleichen.

Das geht aber garnicht weil dieses Salz doch immer ein anderer ist wenn ihr versteht was ich meine.

Hashes ohne salz vergleichen kriege ich schonmal ohne probleme hin.

zum beispiel so würde mein login/abgleich mit der datenbank aussehen :

if(isset($_POST["username"]) && isset($_POST["password"])){

$hash = hash("sha512", $_POST["password"]);

$mysqli1 = new mysqli($servername, $user, $pw, $db);
$result = $mysqli1->query('SELECT id FROM user WHERE username = "'. $_POST["username"]. '"  ');
$result1 = $mysqli1->query('SELECT id FROM user WHERE password = "'. $hash. '"  ');

if($result->num_rows == 1 and $result1->num_rows == 1 ) {
  echo "Login erfolreich"; 
} else {
    echo "Falsches Passwort oder Nutzername";
}
$mysqli1->close();
}

Hab jetzt mysqli benutzt weil es irgendwie übersichtlicher ist, und ob das anfällig für Sql Injections oder so ist spielt eigentlich keine rolle erstmal. Manche stört das

PHP MySQL-Abfrage mit zwei Werten?

Hallo zusammen. Ich habe vorlaufend ein Login-Skript, was mir auf der "internen" Seite dann den Nutzernamen mit

$user = check_user();

Hallo <?php echo htmlentities($user['vorname']);

ausgibt, was auch funktioniert.

Jetzt möchte ich allerdings mit dem Nutzernamen weiterarbeiten und habe eine Abfrage, welche aus einem anderen Tabellenblatt der SQL den Match mit dem Vornamen suchen und den folgenden Wert dann natürlich ausgeben soll.

Aber irgendwie bin ich auf dem Holzweg, weil das nicht hinhaut.

Ich würde mich total über eine Hilfestellung freuen.

Danke.

Warning: Array to string conversion in

  // Create connection
  $conn = new mysqli($servername, $username, $password, $dbname);
  
  // Check connection
  if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
  }
  
  $sql = "SELECT versendet FROM obwacht WHERE ersteller like '$user'";
  $result = $conn->query($sql);
  
  if ($result->num_rows > 0) {
    // output data of each row
    while ($row = $result->fetch_assoc()) {
      echo "Versendet: " . $row["versendet"]. " - Name: " . $row["ersteller"]. "<br>";
    }
  }
  else {
    echo "0 results";
  }
  
  $conn->close();
?>

PHP/MySql wie überprüfen ob Nutzername bereits vergeben?

Wie würde ich das hier am besten mit einer If-Abfrage überprüfen bevor es etwas in die SQL Datenbank schreibt ?

<?php
   $server = 'localhost';
   $user = 'root';
   $psw = null;
   $dbName = 'TestDatenbank';
try {
   $conn = new PDO('mysql:host='.$server.';dbname='.$dbName.';charset=utf8', $user, $psw);
   $conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
   $conn->setAttribute(PDO::ATTR_EMULATE_PREPARES, false);

// POST wird mit AJAX gesendet
   $username = htmlspecialchars(stripslashes((trim($_POST["username"])))) ;
   $password =  password_hash(htmlspecialchars(stripslashes((trim($_POST["password"])))) ,PASSWORD_DEFAULT) ;
   $cash =     100;

// Schreibt in die Datenbank

   $sql = "INSERT INTO user (username,password,cash) VALUES (:username,:password,:cash) ";
   $sqlvars = array("username"  => $username,
   "password" => $password,
   "cash" => $cash);
   $Abfrage = $conn->prepare($sql);
   $Abfrage->execute($sqlvars);


}catch (PDOException $e) {
  print "Error!: " . $e->getMessage() . "<br/>";
  exit;
}

Wie kann der eingegebene Eintrag nach Bestätigung in die Datenbank gespeichert werden?

Hallo,

mit folgendem Code scheint es nicht zu funktionieren, dass die Eingabe nach Bestätigungsfrage nicht in der Datenbank aktualisiert. Warum? Bin neu in PHP
Danke!

if ($name_select && $name_select !== $_POST["name"]) {

// Meldung ausgeben, dass bereits ein Eintrag vorhanden ist

echo "Es ist bereits ein Eintrag in der Spalte $column_name vorhanden. Möchten Sie den Eintrag wirklich überschreiben?";

echo "<form action='putzgruppen.php' method='post'>";

echo "<input type='hidden' name='name' value='" . $_POST["name"] . "'>";

echo "<input type='hidden' name='column_name' value='" . $column_name . "'>";

echo "<input type='submit' name='confirm' value='Ja'>";

echo "<input type='submit' name='cancel' value='Nein'>";

echo "</form>";

} else {

if ($count == 0) {

// Einfügen des Namens in die Datenbank

$name = $_POST["name"];

$sql = "INSERT INTO Putzgruppe ($column_name) VALUES ('$name')";

if (mysqli_query($conn, $sql)) {

echo "Daten erfolgreich gespeichert.";

header("Location: putzgruppen.php"); // Weiterleitung zur Datenbankseite

exit(); // Beenden des Skripts, um ein weiteres Ausführen zu verhindern

} else {

echo "Fehler: " . $sql . "<br>" . mysqli_error($conn);

}

} else {

if(isset($_POST['confirm'])) {

// Aktualisierung des bestehenden Eintrags

$name = $_POST["name"];

$column_name = $_POST["column_name"];

$sql = "UPDATE Putzgruppe SET $column_name='$name' WHERE $column_name='$name_select'";

if (mysqli_query($conn, $sql)) {

echo "Daten erfolgreich aktualisiert.";

header("Location: putzgruppen.php"); // Weiterleitung zur Datenbankseite

exit(); // Beenden des Skripts, um ein weiteres Ausführen zu verhindern

} else {

echo "Fehler: " . $sql . "<br>" . mysqli_error($conn);

}

} else {

echo "Das Eingabefeld ist leer.";

}