密碼驗證

Question

我在PHP開發的代碼，但它不工作。有時代碼可以工作，但大部分時間不行。問題是，在顯示密碼是否有效not.sorry朋友我忘了改變了，但我與它的問題只顯示無效的，甚至我輸入有效的用戶名和password..plz幫我

if(isset($_POST['submit'])) 
{ 
$con = mysql_connect("localhost","root",""); 
$db = mysql_select_db("billmailid", $con); 
     if (!$con) 
      { 
     die('Could not connect: ' . mysql_error()); 
      } 
$username=$_POST['usernameid']; 
$password=$_POST['passwordid']; 

$result = mysql_query("SELECT * FROM login"); 


$check = mysql_query("SELECT username FROM login WHERE username = '$username' && password= '$password'") ; 

$check2 = mysql_num_rows($check); 

if($check2==1) 
    { 
    echo "valid"; 
    } 
else 
    { 
    echo "invalid"; 
    } 
} 
?> 

Answer 1

那麼，首先，如果您重新提出問題標題和正文，添加示例，錯誤和一般情況 - 使其具有可讀性，那麼將會很好。

SQL第二位||是OR和&&是AND。你應該從那裏開始。

第三 - 你應該真的瞭解SQL注入。我不是指XKCD漫畫。 在following link中，您可以找到幾個示例和指導原則，說明如何爲您的數據庫和用戶提供清晰和安全的查詢。您的用戶最好不要使用空的root密碼，並且不要使用「root」作爲網站用戶。

寫保存代碼有時很痛苦，但越早開始越自然。此外，「建立」應用程序的安全性要比構建安全性要困難得多。

Answer 2

，而不是||在你的mysql查詢將是一個好的開始。更重要的是，你有一個巨大的安全漏洞。逃離輸入

http://www.php.net/manual/en/function.mysql-real-escape-string.php

http://en.wikipedia.org/wiki/SQL_injection

否則，它不是一個糟糕的開局，不斷嘗試，你不是一個百萬英里的路程。

Answer 3

其他易受sql注入影響的東西有幾件事。

你有一個不必要的mysql查詢，$result是一個mysql查詢，但沒有得到使用。

您的支票查詢使用||這是OR應該&&或AND這意味着登錄只需符合兩個值帶回的結果之一。這會導致幾個問題。

一個請求只需要匹配兩個值中的一個，所以即使它們沒有配對，任何有效的用戶名或密碼都會導致返回行。 或 如果兩個登錄名具有相同的密碼，則會返回2行，這意味着if($check==1)語句會失敗。