Forum PHP.pl

Witam, jako że jest to mój pierwszy post, chciałem wszystkich przywitać.

Teraz co do tematu, mam problem z formularzem, który ma sprawdzać poprawność wpisanych danych na stronie z danymi w bazie danych.

Działanie zamierzone: Wprowadzone dane w formularzu:
*account
*password
*username
są sprawdzane pod względem poprawności w kolejności:
1. sprawdza czy hasło w bazie jest równe temu z formularza
2. sprawdza czy dany player ma ten sam numer acccount co podany w formularzu
3. dalsza część skryptu która działa poprawnie bez tych dwóch warunków wyżej.
Ciągle uzyskuje komunikat: "Incorrect password", nawed gdy dane w formularzu są poprawne.
Jestem amatorem i skrypt robię amatorsko za pomocą prób i błędów.
Proszę o pomoc.

[PHP] pobierz, plaintext 
<?PHP
echo'<br>';
if ($_POST['submit']) 
{
 
    $acc = (mysql_real_escape_string($_POST['accounts']));
	$pass = (mysql_real_escape_string($_POST['password']));
	$user = (mysql_real_escape_string($_POST['username']));
 
 
		$wynik = mysql_query("SELECT password FROM accounts WHERE id = '$acc'");
		if (/*mysql_fetch_assoc*/($wynik) == ($pass)) //sprawdza czy hasło w bazie jest równe temu z formularza
		{
 
			$wynik2 = mysql_query("SELECT account_id FROM player WHERE id = '$user'"); //sprawdza czy dany player ma ten sam numer acccount co podany w formularzu
			if (/*mysql_fetch_assoc*/($wynik2) == ($acc))
			{
 
 
				if ($user) //właściwa część skryptu, która działa gdy nie ma sprawdzenia up
				{
 
 
 
					$check = mysql_query("SELECT name FROM players WHERE name = '$user'");
					$row99 = mysql_fetch_assoc($check);	
 
						if (mysql_num_rows($check) >= 1) 
						{
 
							$quer = mysql_query("SELECT points FROM players WHERE name = '$user'");
							while ($rowwe = mysql_fetch_assoc($quer)) {
							$row9 = $rowwe['points'];
						}
						$valor = $_SESSION['coste'];
 
							if ($row9 >= $valor) 
							{
								$idmg = $_SESSION['ider'];
								$idplayer = mysql_query("SELECT * FROM players WHERE name = '$user'");
								while ( $row1 = mysql_fetch_assoc($idplayer)) 
								{
									$idpp = $row1['id'];
								}
 
								$pod = mysql_query("SELECT MAX(sid) AS maxsid FROM player_items WHERE player_id = '$idpp'");
								while( $ped = mysql_fetch_assoc($pod)) 
								{
									$pud = $ped['maxsid'];
									$pud++;
								}
 
								$dar = mysql_query("INSERT INTO player_items VALUES('".$idpp."', '".$pud."', '10', '".$idmg."', '1', '')");
								$lose = mysql_query("UPDATE players SET points = $row9 - $valor WHERE name = '$user'");
								echo 'You succesfully bought your item! it was now added to your backpack, have fun!';
							} 
 
								else 
								{
 
									$querry = mysql_query("SELECT points FROM players WHERE name = '$user'");
									while ($rowe = mysql_fetch_assoc($querry)) 
 
									{
										$row19 = $rowe['points'];
										echo 'You need more points, you have <b>'.$row19.'</b>';	
									}
 
								}
 
					} 
						else 
						{
							echo '<b> User doesnt exists </b>';
						}						
				} 
 
			}
			else
			{
				echo "On this account doesn't have this player<br />"; //jeżeli na koncie nie ma playera podanego w formularzu
			}
 
		}
		else
		{
			echo "Incorrect password<br />"; //jeżeli błędne hasło
		}
 
}
?>
[PHP] pobierz, plaintext 

Czy hasło zapisane w bazie jest w jakiś sposób hashowane? Czy na żywo wpisane do bazy? W pierwszym przypadku ciąg odpowiadający hasłu musi zostać w ten sam sposób zahashowany przed porównaniem z tym zapisanym w bazie.

hasło jest wpisane na żywo, takim zapytaniem normalnie uzyskuje poprawne hasło:

[PHP] pobierz, plaintext 
$wynik = mysql_query("SELECT password FROM accounts WHERE id = '$acc'")
or die('Błąd zapytania'); 
 
if(mysql_num_rows($wynik) > 0) { 
    /* jeżeli wynik jest pozytywny, to wyświetlamy dane */ 
    echo "<table cellpadding=\"2\" border=1>"; 
    while($r = mysql_fetch_assoc($wynik)) { 
        echo "<tr>"; 
 
		echo "<td>".$r['password']."</td>";
 
        echo "</tr>"; 
    } 
    echo "</table>"; 
} 
[PHP] pobierz, plaintext 

więc nie mam pojęcia co jest nie tak.

Ten post edytował specx 20.09.2012, 18:25:04

Wyświetl sobie czy aby na pewno jest tak jak sądzisz:

[PHP] pobierz, plaintext 
$wynik = mysql_query("SELECT password FROM accounts WHERE id = '$acc'");
		// if (/*mysql_fetch_assoc*/($wynik) == ($pass)) //sprawdza czy hasło w bazie jest równe temu z formularza
	        // zamiast if daj echo
                echo $wynik . '=' . $pass;
 
			$wynik2 = mysql_query("SELECT account_id FROM player WHERE id = '$user'"); //sprawdza czy dany player ma ten sam numer acccount co podany w formularzu
			// if (/*mysql_fetch_assoc*/($wynik2) == ($acc))
			// zamiast if daj echo
                        echo $wynik2 . '=' . $acc;
[PHP] pobierz, plaintext 

jeśli ciągi będą identyczne wtedy się należy zastanowić gdzie jest błąd.

Dostałem taki wynik:

[PHP] pobierz, plaintext 
Resource id #18=hasło=201091
[PHP] pobierz, plaintext 

Nie wiem czy dobrze to dodałem do skryptu:

[PHP] pobierz, plaintext 
echo'<br>';
if ($_POST['submit']) 
{
 
    $acc = (mysql_real_escape_string($_POST['accounts']));
	$pass = (mysql_real_escape_string($_POST['password']));
	$user = (mysql_real_escape_string($_POST['username']));
 
 
$wynik = mysql_query("SELECT password FROM accounts WHERE id = '$acc'");
		// if (/*mysql_fetch_assoc*/($wynik) == ($pass)) //sprawdza czy hasło w bazie jest równe temu z formularza
	        // zamiast if daj echo
                echo $wynik . '=' . $pass;
 
			$wynik2 = mysql_query("SELECT account_id FROM player WHERE id = '$user'"); //sprawdza czy dany player ma ten sam numer acccount co podany w formularzu
			// if (/*mysql_fetch_assoc*/($wynik2) == ($acc))
			// zamiast if daj echo
                        echo $wynik2 . '=' . $acc;
						/*
			{
 
 
				if ($user) //właściwa część skryptu, która działa gdy nie ma sprawdzenia up
				{
 
 
 
					$check = mysql_query("SELECT name FROM players WHERE name = '$user'");
					$row99 = mysql_fetch_assoc($check);	
 
						if (mysql_num_rows($check) >= 1) 
						{
 
							$quer = mysql_query("SELECT points FROM players WHERE name = '$user'");
							while ($rowwe = mysql_fetch_assoc($quer)) {
							$row9 = $rowwe['points'];
						}
						$valor = $_SESSION['coste'];
 
							if ($row9 >= $valor) 
							{
								$idmg = $_SESSION['ider'];
								$idplayer = mysql_query("SELECT * FROM players WHERE name = '$user'");
								while ( $row1 = mysql_fetch_assoc($idplayer)) 
								{
									$idpp = $row1['id'];
								}
 
								$pod = mysql_query("SELECT MAX(sid) AS maxsid FROM player_items WHERE player_id = '$idpp'");
								while( $ped = mysql_fetch_assoc($pod)) 
								{
									$pud = $ped['maxsid'];
									$pud++;
								}
 
								$dar = mysql_query("INSERT INTO player_items VALUES('".$idpp."', '".$pud."', '10', '".$idmg."', '1', '')");
								$lose = mysql_query("UPDATE players SET points = $row9 - $valor WHERE name = '$user'");
								echo 'You succesfully bought your item! it was now added to your backpack, have fun!';
							} 
 
								else 
								{
 
									$querry = mysql_query("SELECT points FROM players WHERE name = '$user'");
									while ($rowe = mysql_fetch_assoc($querry)) 
 
									{
										$row19 = $rowe['points'];
										echo 'You need more points, you have <b>'.$row19.'</b>';	
									}
 
								}
 
					} 
						else 
						{
							echo '<b> User doesnt exists </b>';
						}						
				} 
 
			}
 
			else
			{
				echo "On this account doesn't have this player<br />"; //jeżeli na koncie nie ma playera podanego w formularzu
			}
 
		}
		else
		{
			echo "Incorrect password<br />"; //jeżeli błędne hasło
		}
*/
}
[PHP] pobierz, plaintext 

EDIT

Mała literówka była w zapytaniu:
Resource id #18=hasło11Resource id #19=201091

Nadal nie wiem co jest nie tak ;/

Ten post edytował specx 20.09.2012, 19:21:14

Miałeś racje, gdy dałem row, o tak:

[PHP] pobierz, plaintext 
$wynik = mysql_query("SELECT password FROM accounts WHERE id = '$acc'");
		// if (/*mysql_fetch_assoc*/($wynik) == ($pass)) //sprawdza czy hasło w bazie jest równe temu z formularza
	        // zamiast if daj echo
			$row = mysql_fetch_row($wynik);
			//echo 'pobrane hasło z bazy: ' . $row[0];
                echo $row[0] . '=' . $pass;
				echo '</br>';
 
			$wynik2 = mysql_query("SELECT account_id FROM players WHERE name = '$user'"); //sprawdza czy dany player ma ten sam numer acccount co podany w formularzu
			// if (/*mysql_fetch_assoc*/($wynik2) == ($acc))
			// zamiast if daj echo
			$row1 = mysql_fetch_row($wynik2);
			//echo 'pobrane acc z bazy: ' . $row1[0];
                      echo $row1[0] . '=' . $acc;
[PHP] pobierz, plaintext 

teraz wyniki zapytań są identyczne, teraz poprawie całość i dam tutaj znać czy wszystko ok.
x=x
y=y

EDIT

Wszystko działa poprawnie, zrobiłem tak, może komuś to się przyda w podobnej sytuacji i nie będzie musiał zakładać nowego tematu:

[PHP] pobierz, plaintext 
$wynik = mysql_query("SELECT password FROM accounts WHERE id = '$acc'");
		$row22 = mysql_fetch_array($wynik, MYSQL_ASSOC);
 
		if ($row22[password] == $pass) //sprawdza czy hasło w bazie jest równe temu z formularza
		{
 
 
	         //
			$wynik2 = mysql_query("SELECT account_id FROM players WHERE name = '$user'"); //sprawdza czy dany player ma ten sam numer acccount co podany w formularzu
			$row23 = mysql_fetch_array($wynik2, MYSQL_ASSOC);
			if ($row23[account_id] == $acc)
			{
[PHP] pobierz, plaintext 

PS. zmieniłem:

[PHP] pobierz, plaintext 
mysql_fetch_row($wynik);
[PHP] pobierz, plaintext 

na:

[PHP] pobierz, plaintext 
mysql_fetch_array($wynik, MYSQL_ASSOC);
[PHP] pobierz, plaintext 

bo wcześniej nie chciało iść.

Oczywiście podziękowania za pomoc


Ten post edytował specx 20.09.2012, 20:36:10