烧瓶 sha256_crypt.verify 返回“不是有效的 sha256_crypt 哈希”

Question

我正在将 Flask 用于 Web 登录页面。我正在尝试利用 sha256 密码加密，但我不知道为什么行 sha256_crypt.verify(password,pass_data) 会抛出标题错误。

我有什么遗漏吗？如果我可以提供更多详细信息，请询问，也许提供一些有关如何调试的说明。谢谢。

@app.route("/login", methods=["GET","POST"])
def login():
   if request.method == "POST":
      username= str(request.form['username'])
      password = request.form.get('password')
      cursor = mydb.cursor(MySQLdb.cursors.DictCursor)
      cursor.execute("SELECT * FROM user WHERE username ='"+ username +"'")
      userdata = cursor.fetchone()
      usernamedata = userdata['username']
      passworddata = userdata['password']
      if usernamedata is None:
        flash("Incorrect username","danger")
        return render_template("login.html")
     else:
        for pass_data in passworddata:
            if sha256_crypt.verify(password,pass_data):
                flash("You are now login","success")
                return redirect(url_for('profile'))
            else:
                flash("Incorrect password!")
                return render_template("login.html")
   return render_template("login.html")

Answer 1

假设密码数据是一个字符串，执行for pass_data in passworddata 只会遍历字符串的字母。我想改变这个：

for pass_data in passworddata:
    if sha256_crypt.verify(password,pass_data):
        flash("You are now login","success")
        return redirect(url_for('profile'))
    else:
        flash("Incorrect password!")
        return render_template("login.html")

到这里：

if sha256_crypt.verify(password, passworddata):
    flash("You are now login","success")
    return redirect(url_for('profile'))
else:
    flash("Incorrect password!")
    return render_template("login.html")

应该修复它。

另外，不要这样执行 SQL！

cursor.execute("SELECT * FROM user WHERE username ='"+ username +"'")

很容易出现SQL injection。