此登錄功能是否安全？

Question

這個登錄函數是否安全，我把url數據直接放入函數中，但這會不安全嗎？這是否可以注入，我知道它沒有SQL，但它是否可敬？

if ($_SERVER["REQUEST_METHOD"] == "POST") {  
    $login = check_login($_POST['emailusername'], $_POST['password']); 
    if ($login) { 
     // Registration Success 
     header("location: /"); 
    } else { 
     // Registration Failed 
     echo 'Username/password wrong'; 
    } 
} 

功能：

// CHECK LOGIN SCRIPT 
    function check_login($emailusername, $password) 
    { 

$host = 'localhost'; 
$port = 3306; // This is the default port for MySQL 
$database = 'example'; 
$username1 = 'root'; 
$password1 = 'root'; 

$dsn = "mysql:host=$host;port=$port;dbname=$database"; 
$db = new PDO($dsn, $username1, $password1); 

       $password = md5($password); 


$statement = $db->prepare('SELECT uid FROM users WHERE (email = ? or username = ?) and password = ?'); 
$statement->execute(array($emailusername, $emailusername, $password)); 

if ($result = $statement->fetchObject()) { 
    $_SESSION['login'] = true; 
    $_SESSION['uid'] = $result->uid; 
    return TRUE; 
}else{ 
    return FALSE; 
} } 

Answer 1

我不明白爲什麼它不安全，但我建議你按照authentication best practices。

Answer 2

有一個良好的認證系統不是那麼簡單的，我的朋友。這裏有一些'first steps'。

如果你不確定，你不應該自己做。它的反模式叫做'reinventing the square wheel'！