[Resolvido] Problema com login

[DinhoPHP 1]

Tenho um sistema de login conforme o código abaixo, porém o post  já inicia com uma senha criptografada com 40string mesmo com o campo vazio, e o usuario se loga com qualquer senha digitada. Favor! Preciso de ajuda para concluir isto. Fiz várias pesquisas e nada.

logar.php

require_once 'conexao.php';
require_once 'Login.class.php';
    //RECEBE OS DADOS DO FORMULÁRIO
    /*$email = $_POST["email"];
    $senha = $_POST["senha"];*/

    $email = preg_replace('/[^[:alnum:]_.-]/', '', $_POST["email"]);
    $senha = sha1($_POST["senha"]. "spbrmitcz");

        //VERIFICA SE ESTÃO VAZIOS
        if (empty($email) || empty($senha)) {
            echo "Preencha todos os campos!";
        }else {
            //Email inválido!
            if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
                echo "Email ou senha inválidos! Por favor, digite novamente.";
            } else {
                //Executa a classe Login

                $logado = new Login();
                $logado = $logado->Logar($email, $senha);
            }
        }
    echo "<br>" . var_dump($email) . "<br>". var_dump($senha);

Login.class.php

require_once 'conexao.php';

class Login extends Conexao
{
    public function Logar($email, $senha){
        $datalog = $this->pdo->prepare("SELECT * FROM profissionais WHERE email = :email AND senha = :senha");
        $datalog->bindValue(':email', $email, PDO::PARAM_STR);
        $datalog->bindValue(':senha', $senha);
        $datalog->execute();
        $datalog->fetchAll(PDO::FETCH_ASSOC);

            if (count($datalog) <= 0) {
                echo "<h1>Digite seu email e senha corretamente!</h1>";
            } else {
                echo "<h1>Logado com sucesso!</h1>";
            }
echo "<br>"
        .var_dump($datalog)."<br>"
        .var_dump($email)."<br>"
        .var_dump($senha)."<br>";
    }
}

 

[ESerra 744]

A sua senha "inicia" com 40 caracteres por esse motivo:

$senha = sha1($_POST["senha"]. "spbrmitcz");

 

Ele gera o hash sha1 do post vazio. Não deseja isto? Verifique se o post está preenchido ou não (if/else) ANTES de aplicar o sha1.

 

Quanto ao outro problema, altere a lógica:

 

$datalog = $this->pdo->prepare("SELECT * FROM profissionais WHERE email = :email AND senha = :senha LIMIT 1");
        $datalog->bindValue(':email', $email, PDO::PARAM_STR);
        $datalog->bindValue(':senha', $senha, PDO::PARAM_STR);
        $datalog->execute();
        

            if ($datalog->rowCount() != 1) {
                echo "<h1>Digite seu email e senha corretamente!</h1>";
				print_r($datalog->errorInfo();
            } else {
                echo "<h1>Logado com sucesso!</h1>";
            }

[DinhoPHP 1]

Pensei nisso, porém não testei sem o hash para a leitura da senha no BD, Assim como vi em um vídeo no Youtube. Vou testar e retorno. Obrigadão!

[DinhoPHP 1]

 $email = preg_replace('/[^[:alnum:]_.-]/', '', $_POST["email"]);
    $senha = sha1($_POST["senha"]);

Está estranho esse negócio, continua com 40 strings

 if ($datalog->rowCount() != 1) {
                echo "<h1>Digite seu email e senha corretamente!</h1>";
                print_r($datalog->errorInfo());
            } else {
                echo "<h1>Logado com sucesso!</h1>";
            }

Mudei a lógica e só dá incorreto e...

Digite seu email e senha corretamente!

Array ( [0] => 00000 [1] => [2] => ) object(PDOStatement)#3 (1) { ["queryString"]=> string(67) "SELECT * FROM profissionais WHERE email = :email AND senha = :senha" } string(10) "nanapb.com" string(40) "7c222fb2927d828af22f592134e8932480637c0d" 



string(10) "nanapb.com" string(40) "7c222fb2927d828af22f592134e8932480637c0d" 

[DinhoPHP 1]

Login funcionando perfeitamente assim: (sem a preg_replace, pois ela removeu a arroba)

logar.php

require_once 'conexao.php';
require_once 'Login.class.php';
    //RECEBE OS DADOS DO FORMULÁRIO
    $email = $_POST["email"];
    $senha = $_POST["senha"];

    //$email = preg_replace('/[^[:alnum:]_.-]/', '', $_POST["email"]);
    $senha2 = sha1($senha. "spbrmitcz");
        //VERIFICA SE ESTÃO VAZIOS
        if (empty($email) || empty($senha)) {
            echo "Preencha todos os campos!";
        }else {
            //Todos os campos preenchidos
            if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {
                echo "Email ou senha inválidos! Por favor, digite novamente.";
            } else {
                //Executa a classe de cadastro

                $logado = new Login();
                $logado = $logado->Logar($email, $senha2);
            }
        }echo var_dump($email);

Login.class.php

require_once 'conexao.php';

class Login extends Conexao
{
    public function Logar($email, $senha2){
        $datalog = $this->pdo->prepare("SELECT * FROM profissionais WHERE email = :email AND senha = :senha LIMIT 1");
        $datalog->bindValue(":email", $email);
        $datalog->bindValue(":senha", $senha2);
        $datalog->execute();
        $datalog->fetchAll(PDO::FETCH_ASSOC);

            if ($datalog->rowCount() == 1){
                echo "<h1>Logado com sucesso!</h1>";
            } else {
                echo "<h1>Digite seu email e senha corretamente!</h1>";
                print_r($datalog->errorInfo());
            }echo "<br>"
            .var_dump($datalog)."<br>"
            .var_dump($email)."<br>"
            .var_dump($senha2)."<br>";
    }
}

Agora preciso tratar as SQL injections, me deparei com diversos posts até mesmo daqui, ainda não testei e apliquei nenhum. Se alguém tiver sugestão de qual a melhor e puder me ajudar, pois de SQL injection não entendo muito.

[Williams Duarte 431]

 

1 hora atrás, DinhoPHP disse:

Agora preciso tratar as SQL injections, me deparei com diversos posts até mesmo daqui, ainda não testei e apliquei nenhum. Se alguém tiver sugestão de qual a melhor e puder me ajudar, pois de SQL injection não entendo muito.

A PDO já faz isso! 

[DinhoPHP 1]

10 horas atrás, Williams Duarte disse:

 

A PDO já faz isso! 

Valeu William, desculpe enfadar mais uma vez, mas isso foi solucionado 100% com o PDO? Pois eu tentei algumas e realmente não consegui realizar a SQL Injection.

[ESerra 744]

10 minutos atrás, DinhoPHP disse:

Valeu William, desculpe enfadar mais uma vez, mas isso foi solucionado 100% com o PDO? Pois eu tentei algumas e realmente não consegui realizar a SQL Injection.

Não, nada é 100% garantido, PDO resolve muito bem problema de sql injection de primeira ordem, esse post explica exatamente essa situação:

http://stackoverflow.com/questions/134099/are-pdo-prepared-statements-sufficient-to-prevent-sql-injection

 

Tenha em mente que nada que venha do usuário é seguro, mesmo vindo de campos "select", "checkbox" e etc, tudo pode ser manipulado.

[DinhoPHP 1]

Agradeço aos dois pela ajuda e informação, bom, vejo que a frase que li em um livro JAVA no passado e a levo em mente sempre será verídica, na programação nada é 100% perfeito. É que bate uns receios, mas procurarei fazer o meu melhor, ter coragem e seguir. Bom, isso que fiz foi algo bem básico só para testar estas funções, tanto que não apliquei SESSION nem nada. Mas vlw!

[Williams Duarte 431]

Tenha em mente que é seguro contra injeção sql, mas não é 100%.
Mas acredito que você não conseguira desenvolver algo mais seguro do que a própria PDO. Use as constantes na declarações.
 

...

$datalog = $this->pdo->prepare("SELECT * FROM profissionais WHERE email = :email AND senha = :senha LIMIT 1");
$datalog->bindParam(":email", $email, PDO::PARAM_STR);
$datalog->bindParam(":senha", $senha2, PDO::PARAM_STR);

...

 

http://php.net/manual/en/pdo.constants.php

[DinhoPHP 1]

47 minutos atrás, Williams Duarte disse:

Tenha em mente que é seguro contra injeção sql, mas não é 100%.
Mas acredito que você não conseguira desenvolver algo mais seguro do que a própria PDO. Use as constantes na declarações.
 

...

$datalog = $this->pdo->prepare("SELECT * FROM profissionais WHERE email = :email AND senha = :senha LIMIT 1");
$datalog->bindParam(":email", $email, PDO::PARAM_STR);
$datalog->bindParam(":senha", $senha2, PDO::PARAM_STR);

...

 

http://php.net/manual/en/pdo.constants.php

Compreendo e sempre faço uso destas contants, mas como eu vinha tendo problemas eu a tinha removido. Já fiz alguns freelance só que nada relacionado à sistema de cadastro e login; e nesses eu percebi esses usos da PDO mesmo, só que como este eu estou desenvolvendo, veio uma preocupação extra.

[Gabriel Heming 766]

Somente para complementar, o tutorial mais completo sobre sql injection + php solutions que eu já li está em:

https://phpdelusions.net/

 

Vale muito a leitura.

[DinhoPHP 1]

5 minutos atrás, Gabriel Heming disse:

Somente para complementar, o tutorial mais completo sobre sql injection + php solutions que eu já li está em:

https://phpdelusions.net/

 

Vale muito a leitura.

Beleza! Gabriel. Super válido esse complemento. Abraço!

[DinhoPHP 1]

Amigos, venho novamente e espero que possam me ajudar novamente. Uma vez que fiz esse SELECT * FROM, eu não deveria retornar à qualquer campo da minha tabela sem ter erros? Eu já fiz isso uma vez, inclusive no mesmo projeto, só que aqui não funciona, nem com PDO::FECTH_OBJ ou ASSOC.

 

public function Login($email, $senha2){
        $datalog = $this->pdo->prepare("SELECT * FROM profissionais WHERE email = :email AND senha = :senha LIMIT 1");
        $datalog->bindValue(":email", $email);
        $datalog->bindValue(":senha", $senha2);
        $datalog->execute();
        $dadoslogin = $datalog->fetchAll(PDO::FETCH_OBJ);

        if ($dadoslogin){
            session_start();
            $_SESSION["id"] = $dadoslogin->id; //TENTATIVA
            $_SESSION["email"] = $email; // FUNCIONAL
            echo "<h1>Logado com sucesso!".$_SESSION["email"]."</h1>";// TESTE DE EXIBIÇÃO
            echo "<h1>Logado com sucesso!".$_SESSION["id"]."</h1>";//FAIL RS
            //header("refresh: 3; url=mensagem.php");
        } else {
            echo "<h1>Email ou senha incorretos! Por favor, digite novamente.</h1>";
            session_destroy();
            header("refresh: 3; url=../login.php");
        }
    }

 

[ESerra 744]

Use $datalog->rowCount() para ver quantas linhas retornaram na query...

[DinhoPHP 1]

10 minutos atrás, ESerra disse:

Use $datalog->rowCount() para ver quantas linhas retornaram na query...

Retorna exatamente a uma.

[ESerra 744]

print_r($dadoslogin);

retorna o que?

[DinhoPHP 1]

Dei um var_dump ($dadoslogin) e me retornou à isto

 

array(1) { [0]=> object(stdClass)#4 (7) { ["id"]=> string(2) "14" ["nivel"]=> string(1) "1" ["status"]=> string(1) "1" ["nome"]=> string(4) "Nana" ["rua"]=> string(14) "Rua souza maia" ["email"]=> string(11) "nana@pb.com" ["senha"]=> string(40) "senha criptografada" } } string(11) "nana@pb.com"

 

Ou seja, tudo está vindo no array.

4 minutos atrás, ESerra disse:

print_r($dadoslogin);

retorna o que?

Eu  estava enviando o var_dump quando me enviou.

[DinhoPHP 1]

Obrigado ESerra pelo apoio, mas resolvi desta maneira. Tinha esquecido do Fetch rs

 

public function Login($email, $senha2){
        $datalog = $this->pdo->prepare("SELECT * FROM profissionais WHERE email = :email AND senha = :senha LIMIT 1");
        $datalog->bindValue(":email", $email, PDO::PARAM_STR);
        $datalog->bindValue(":senha", $senha2, PDO::PARAM_STR);
        $datalog->execute();
        $dadoslogin = $datalog->fetch(PDO::FETCH_ASSOC);
        echo var_dump($datalog->rowCount()). "<br>";

        if ($dadoslogin){
            session_start();
            $_SESSION["nome"] = $dadoslogin["nome"]; // FUNCIONAL
            $_SESSION["email"] = $dadoslogin["email"]; // FUNCIONAL

            echo "<h1>Logado com sucesso!".$_SESSION["nome"]."</h1>";// TESTE DE EXIBIÇÃO
            echo "<h1>Logado com sucesso!".$_SESSION["email"]."</h1>";//FAIL RS
            //header("refresh: 3; url=../mensagem.php");
            echo print_r($dadoslogin);
        } else {
            echo "<h1>Email ou senha incorretos! Por favor, digite novamente.</h1>";
            session_destroy();
            header("refresh: 3; url=../login.php");
        }
    }