Passwort Verifikation PHP Formular

Question

Hier habe ich einige PHP-Code, der mir erlaubt, Benutzerinformationen in meiner Schüler-Tabelle zu aktualisieren.

Ich versuche, herauszufinden, wie bin ich in der Lage zu überprüfen, ob das Passwort für den Benutzer, die derzeit in das Passwort in der Datenbank gespeicherten übereinstimmt angemeldet ist, bevor Informationen ermöglicht aktualisiert werden kann.

Answer 1

Wie die anderen sagen, Ihr Skript hat Bündel von Löchern.

Ich nehme an, Sie für lokale entwickeln nur.

, wenn Sie es in diesem Stadium hosten, sicher werden Sie Sicherheitsprobleme bekommen.

Okay, zurück zu Ihrer Frage.

Es gibt mehrere Möglichkeiten, Benutzer zu validieren, bevor Update zu begehen.

Zum Beispiel:

1. Put SQL-Zustand, wenn die Änderung der Aktualisierung

   if(isset($_POST['Update'])){ 
       $UpdateFName = $_POST['FirstName']; 
       $UpdateLName = $_POST['LastName'];   
       $UpdateEmail = $_POST['Email']; 
       $UpdateFPassword = $_POST['Password']; 
   
       $SQL = $conn->query("UPDATE students 
       SET FName='{$UpdateFName}',LName='{$UpdateLName}',Email='{$UpdateEmail}',Password='{$UpdateFPassword}' 
       WHERE UserID = $User and Password = '$_SESSION["PW"]' "); 
   
   header('Location:updateinfo.php'); 
   

   }

, wenn Sie diese Methode verwenden, wenn Sie das aktuelle Passwort mit Passwort unterscheidet Diese edit sql wird nicht ausgeführt, da die Bedingung ungültig ist

2. den Benutzer zuerst validieren.

   if(isset($_POST['Update'])){ 
       $UpdateFName = $_POST['FirstName']; 
       $UpdateLName = $_POST['LastName'];   
       $UpdateEmail = $_POST['Email']; 
       $UpdateFPassword = $_POST['Password']; 
   
       $sqlValidate = $conn->query("SELECT * FROM students WHERE UserID ='$User' and Password='$_SESSION["PW"]' "); 
       $getUser = $sqlValidate -> fetch_array(MYSQLI_BOTH); 
   
       if($getUser['UserID'] != ''){ 
        $SQL = $conn->query("UPDATE students SET FName='{$UpdateFName}', LName='{$UpdateLName}', Email='{$UpdateEmail}', Password ='{$UpdateFPassword}' WHERE UserID = $User "); 
       }// end if 
   
   header('Location:updateinfo.php'); 
   

   }

können Sie http://php.net/manual/en/function.crypt.php für Passwort-Verschlüsselung lesen.

Answer 2

Ihr Formular hat im Grunde keine Validierungen. Außerdem gibt es Möglichkeiten für SQL-Injektionen. validieren Sie Ihr E-Mail-Feld, bevor Sie es posten. versuchen Sie:

if(!filter_var($email_variable,FILTER_VALIDATE_EMAIL){ 
//throw some kind of exceptions or kill the process 
} 

Ich rate auch, dass Sie PDO verwenden, da es die Verwendung von vorbereiteten Anweisungen unterstützt. Es gibt eine erstaunliche Funktion dort kann bindParam(), die Ihre Parameter bindet.

Händler:

$DBH = new PDO("mysql:host=localhost;dbname=test", 'root', ''); 
     $DBH->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); 
     $STH = $DBH->prepare("SELECT * FROM student_table WHERE studentID= :id"); 
     $id = 1; // here you should keep it as variable and pass it to param 
     $STH->bindParam(':id', $id, PDO::PARAM_STR); 
     $STH->execute(); 

     $STH->setFetchMode(PDO::FETCH_ASSOC); 

Auch schreiben Sie keine rohen Passwörter direkt in Ihre Datenbank. Verwenden Sie entweder den integrierten PHP-Hashing-Algorithmus oder verwenden Sie eine Art Verschlüsselungsfunktion, um sie zu sichern.