PHP/MySQL安全用户密码验证与最佳实践

// 错误的密码验证逻辑示例
if(mysqli_num_rows($resultforsignup) == $_POST['password']){
    echo'success';
} else {
    echo'password does not meet';
}

<?php
// 假设 $link 已经是一个有效的mysqli连接

// 模拟用户注册时接收的密码
$userPassword = $_POST['password'];

// 使用 password_hash() 对密码进行哈希
// PASSWORD_DEFAULT 会使用目前推荐的哈希算法 (目前是 bcrypt)
$hashedPassword = password_hash($userPassword, PASSWORD_DEFAULT);

// 将哈希后的密码存储到数据库中
// 注意：在实际应用中，这里应该使用预处理语句来插入数据，防止SQL注入
$stmt = mysqli_prepare($link, "INSERT INTO users (email, password) VALUES (?, ?)");
mysqli_stmt_bind_param($stmt, "ss", $_POST['email'], $hashedPassword);
mysqli_stmt_execute($stmt);

if (mysqli_stmt_affected_rows($stmt) > 0) {
    echo "用户注册成功，密码已安全存储。";
} else {
    echo "注册失败。";
}
mysqli_stmt_close($stmt);
?>

<?php
// 假设 $link 已经是一个有效的mysqli连接

// 获取用户输入的邮箱和密码
$email = $_POST['email'];
$inputPassword = $_POST['password'];

// 1. 使用预处理语句查询数据库以获取存储的哈希密码
$stmt = mysqli_prepare($link, "SELECT password FROM users WHERE email = ?");
mysqli_stmt_bind_param($stmt, "s", $email);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);

if (mysqli_num_rows($result) === 1) {
    $user = mysqli_fetch_assoc($result);
    $storedHashedPassword = $user['password'];

    // 2. 使用 password_verify() 验证用户输入的密码
    if (password_verify($inputPassword, $storedHashedPassword)) {
        echo "登录成功！";
        // 在这里可以设置会话（session）等登录状态
    } else {
        echo "密码不正确。";
    }
} else {
    echo "邮箱未注册或不存在。";
}

mysqli_stmt_close($stmt);
?>

<?php
// 假设 $link 已经是一个有效的mysqli连接
// 错误报告（仅开发环境使用）
ini_set('display_errors', 1);
ini_set('display_startup_errors', 1);
error_reporting(E_ALL);

if(isset($_POST['signinbtn'])){
    $email = $_POST['email'] ?? '';
    $password = $_POST['password'] ?? '';

    if(empty($email)){
        echo'<p>请输入您的邮箱。</p><br>';
    } elseif(empty($password)){
        echo'<p>请输入您的密码。</p><br>';
    } else {
        // 1. 准备查询语句，使用占位符 '?'
        $stmt = mysqli_prepare($link, "SELECT id, password FROM users WHERE email = ?");

        if ($stmt === false) {
            echo "数据库准备查询失败: " . mysqli_error($link);
            exit;
        }

        // 2. 绑定参数：'s' 表示参数类型为字符串 (string)
        mysqli_stmt_bind_param($stmt, "s", $email);

        // 3. 执行查询
        mysqli_stmt_execute($stmt);

        // 4. 获取查询结果
        $result = mysqli_stmt_get_result($stmt);

        if ($result === false) {
            echo "获取查询结果失败: " . mysqli_error($link);
            mysqli_stmt_close($stmt);
            exit;
        }

        if (mysqli_num_rows($result) === 0) {
            echo '邮箱未注册。';
        } else {
            $user = mysqli_fetch_assoc($result);
            $storedHashedPassword = $user['password'];

            // 5. 使用 password_verify() 验证密码
            if (password_verify($password, $storedHashedPassword)) {
                echo '登录成功！';
                // 在这里可以启动用户会话，例如 $_SESSION['user_id'] = $user['id'];
                // header('Location: dashboard.php'); // 重定向到用户面板
            } else {
                echo '密码不正确。';
            }
        }
        // 6. 关闭语句
        mysqli_stmt_close($stmt);
    }
}
?>