密码查询

Question

在表单方面需要一些帮助。我创建了一个需要登录的表单。一旦有人登录，他们就会完成表单，然后其他人会检查表单并在提交表单之前输入密码。

我已经设置了一些规则来检查字段是否正确完成，我想编写一些代码来检查密码字段是否完成，然后根据数据库中存储的密码进行检查。

到目前为止，我已经得到了这个。

    if (!empty($_POST['password']))
{


/*connect to database to check password is valid*/
    $user_name = "contains username for database";
    $pass_word = "contains password";
    $database = "name of database";
    $server = "localhost";

    $db_handle = mysql_connect($server, $user_name, $pass_word);
    $db_found = mysql_select_db($database, $db_handle);

    if ($db_found) {

        $uname = quote_smart($uname, $db_handle);
        $pword = quote_smart($pword, $db_handle);

        $SQL = "SELECT * FROM masterpass WHERE password = $password";
        $result = mysql_query($SQL);
        $num_rows = mysql_num_rows($result);

        if ($result) {
            if ($num_rows > 0) {
                continue;
            }
            else {
                $error = true;



  }

不确定我是否以正确的方式进行此操作，因此任何帮助都会很棒。

提前致谢 马特

Answer 1

对于初学者，首先创建$pword：

$pword = quote_smart($pword, $db_handle);

并在您的查询中使用$password。

$SQL = "SELECT * FROM masterpass WHERE password = $password";

这行不通。

其次，您应该在查询中询问用户名和密码。

最后但同样重要的是：永远不要以明文形式保存密码在您的数据库中。生成一个MD5 hash！

Answer 2

我已经设置了一些规则来检查字段是否正确完成，我想编写一些代码来检查密码字段是否完成，然后根据数据库中存储的密码进行检查。

不，你没有。检查密码是否已经在数据库中并不是一件很聪明的事情，因为这会使您的应用程序遭受暴力攻击。我可以使用您的表单来确定使用了哪些密码，如果我可以获得您的用户列表，我可以尝试为每个用户输入每个密码并获得访问权限。

其次，quote_smart 可能并不比 mysql_real_escape_string 更智能。改用它。

第三，正如 Sascha 已经提到的，请生成一个哈希。我不会使用 MD5，而是使用 sha1，但即使使用不加盐的 MD5 也已经显着提高了表单的安全性。

我验证密码的准则是：确保密码长度超过 7 个字符，仅此而已。不要假设人们应该使用什么密码。如果我输入密码并且某些验证程序告诉我不能在密码中使用 {^，我会讨厌它。