Hent login-data ud af SQL tabel

Du skal ændre din SQL således at du henter passwordet til brugeren ud og tjekker om det er korrekt.

brug f.eks. følgende SQL: (skal self tilpasses)

$query = mysql_query("SELECT password FROM admin WHERE bruger = '".$_POST['bruger']."';");
while( $row = mysql_fetch_array($query))
{
  $apass = $row['PASSWORD'];
}

if ($_POST['pass'] == apass)
{
  //bahh
}

Du skal nok hellere gøre således:

$bruger = $_POST['user'];
$pass = $_POST['pass'];

$bruger_pass = mysql_query("SELECT `brugernavn` FROM `admin` WHERE `brugernavn` = '$bruger' AND `password` = '$pass'");
$bruger_exist = mysql_num_rows($bruger_pass);

if ($bruger_exist >0){
//bruger og password er korrekt
}
else{
//bruger og password er ikke korrekt
}

tigertool, det er da dobbelt arbejde ?

$query = mysql_query("SELECT password FROM admin WHERE bruger = '".$_POST['bruger']."' AND password='".$_POST['pass']."';");

og så checke med mysql_num_rows om der blev fundet et resultat.

alister_crowley << kan du have ret i - men jeg kan nu godt lide at tjekke om det evt. kun er passordet der er forkert.

tigertool -> men på denne måde:

while( $row = mysql_fetch_array($query))
{
  $apass = $row['PASSWORD'];
}

overskriver du jo $apass for hvert gennemløb, hvilket var det oprindelige problem.

Der er et WHERE statement hvilket vil sige at du kun får et password, eftersom der max findes en bruger med brugernavnet!

Hvorfor så lave en while løkke?

behøves heller ikke. Men det er sent :)

Desuden giver det jo ingen forskel om der er en while eller ej. Den while bliver kun kørt en enkelt gang!

Ok, pointen med at lave en WHERE bestemt forespørgsel er den røde tråd ;O)

Korrekt. Skrev vist også at det skulle rettes til.

Smider lige et svar for en sikkerhedsskyld :)

Jeg har forsøgt mig med m_els's foreslag. Men får følgende fejl:

Warning: mysql_num_rows(): supplied argument is not a valid MySQL result resource in /var/www/www.x-road-user.dk/www/auth.php on line 11

Warning: Cannot modify header information - headers already sent by (output started at /var/www/www.x-road-user.dk/www/auth.php:11) in /var/www/www.x-road-user.dk/www/auth.php on line 20

Jeg har uploadet koden på: http://www.x-road-user.dk/kode.txt

Fejlkode nr. 2 (header) har jeg set før, men fik det til at virke ved at putte min session_start(); øverst på siden. Hvorfor kommer den nu igen? :(

Er Password ikke et fy-ord i MySQL?

Det aner jeg intet om - men godt nok PASSWORD med uppercase i min mysql-tabel????

Problemet er at der er en funktion i MySQL kaldet PASSWORD - prøv for sjov skyld at omdøbe det i tabellen og i SQL'en.

Okay - det prøver jeg lige - er der ellers ikke noget i vejen med min kode (er næsten lige startet på det her)

ellers prøv mit eksepmel :)

Jeg har prøvet med dit eksempel tigertool, og min kode ser nu således ud:
ftp://x-road-user.dk/www/kode_tigertool.txt
Problemer er bare at man kan logge ind uden at skrive korrekt user og pass.

Dødt link?

Og man kan ikke logge ind når man skriver det rigtige login :D

Jeg bruger selv mit lille script mange steder - og det virker fint.

Hovsa.. det skal selvfølgelig være:
http://x-road-user.dk/kode_tigertool.txt

jamen hvordan ser din tabel da ud?

bruger varchar(20), password varchar(20)

Så er der jo fejl i den SQL m_els skrev. der står jo brugernavn og ikke bruger!

Fordelen med mit script er at du faktisk kan tjekke på om brugeren findes og bare har indtastet forkert kodeord - eller om brugeren ikke findes overhovedet.

Forresten..
$_SESSION['login'] = "false";
skrives:
$_SESSION['login'] = false; (hvis det er boolsk)

Lige nu bruger jeg dit script, der er skrevet i http://x-road-user.dk/kode_tigertool.txt

www.x-road-user.dk - Login . Hvis du vil se det i praksis.

Det er bevidst at false og true har "" om sig.

Prøv lige:
<?
session_start();

mysql_connect("mysql5.wannafind.dk", "x_road_use", "");
mysql_select_db("x_road_user_dk_db");

$query = mysql_query("SELECT password FROM admin WHERE bruger = '".$_POST['bruger']."';");
while( $row = mysql_fetch_array($query))
{
    $apass = $row['password'];
}

if (mysql_num_rows($query) > 0)
{
  if ($_POST['pass'] == $apass)
  {
    //Brugernavn og password er korrekt
    $_SESSION['login'] = "true";
    $_SESSION['user_in'] = $_POST['bruger'];
    header("Location: admin.php");
  }
  else
  {
    //Password er forkert - brugernavn rigtigt.
    $_SESSION['login'] = "false";
    header("Location: login.php");
  }
}
else
{
  //Brugernavnet eksisterer ikke
  $_SESSION['login'] = "false";
  header("Location: login.php");
}

?>

Virker det?

Nej :(
Man kan ikke komme ind på admin.php ligemeget hvad. Jeg prøvede at skifte "password" i query til uppercase (PASSWORD som den står i mysql) og straks fik jeg nogle fejl.. Det kan være at du har ret med at password er et fy-ord. Jeg prøver lige at ændre det.

<?
session_start();

mysql_connect("mysql5.wannafind.dk", "x_road_use", "");
mysql_select_db("x_road_user_dk_db");

$query = mysql_query("SELECT password FROM admin WHERE bruger = '".$_POST['user']."';"); //<-- Fejl her, undskyld
while( $row = mysql_fetch_array($query))
{
    $apass = $row['password'];
}

if (mysql_num_rows($query) > 0)
{
  if ($_POST['pass'] == $apass)
  {
    //Brugernavn og password er korrekt
    $_SESSION['login'] = "true";
    $_SESSION['user_in'] = $_POST['user']; //<-- Fejl her, undskyld
    header("Location: admin.php");
  }
  else
  {
    //Password er forkert - brugernavn rigtigt.
    $_SESSION['login'] = "false";
    header("Location: login.php");
  }
}
else
{
  //Brugernavnet eksisterer ikke
  $_SESSION['login'] = "false";
  header("Location: login.php");
}

?>

Jeg har skrevet $_POST['bruger'] i scriptet du lige prøvede. Jeg postede lige et nyt - der burde faktisk stå: $_POST['user']! Min fejl - jeg kunne se det da jeg kiggede på html sourcen på din side.

Yepsen - det lade jeg godt mærke til, og du gjordet også et andet sted men jeg har rettet det :D.. Vender lige tilbage 1 minut - tror næsten det virker nu.

Det virker!!

Måske var det den 'PASSWORD' i SQL der drillede lige start?
Anyways det virker og nu kan jeg sove godt i nat :P..

Tusind tak for hjælpen (det er ikke nemt at være nybegynder :)).

Det har du ret i - vi har alle været der :)

;) - Giver jeg dig ikke poitn ved at trykke "Accepter"? Der sker intet, andet end at siden reloades?

Du kan let implementere fejl-beskeder i det kode jeg har postet. Så ved brugeren at der er noget galt - og du kan let se forskel på om brugernavnet findes eller ej.

Du skal vist først vælge mig i listen i siden :)

Det kan jeg godt se nu du siger det - Så sparede du mig sørme også for en masse bøvl der :)

Jep - tak for point :)

Det er mig der takker :)