İşte benim yorum:

<?php 
include("base.php"); //Include MySQL connection

'username' veya 'password' endeksleri var yoksa aşağıdaki başarısız olur. array_key_exists() to test the $_POST dizisi ilk kullanımı.

$username = $_POST['username']; 
$password = $_POST['password'];

Tek bir tuz size sonuna kadar başlangıç ​​ve diğer yarısı bunun yarısı eklenerek hiçbir şey kazanacaktır, yeterli.

Ayrıca: kodu yorumlar tamamen yararsız. Böyle bariz ve uninformative demeçler yorumlarla kodunuzu kaplamak için zahmet etmeyin.

$salt = "xia8u28jd0ajgfa"; //Define the salt string
$salt2 = "oqipoaks42duaiu"; //Define the second salt string

Ama kullanıcı başına bir different rastgele tuz saklamak için daha güvenli bulunuyor. Sen members tabloda, veritabanında bu saklayabilirsiniz. Bir tuz kullanmanın amacı, sözlük saldırıları yenilgidir. Saldırgan tüm üye hesapları için single tuz kullanmak olduğunu biliyorsa, o zaman senin tuz kullanarak sözlük kelimelerin öncesi hesaplanan hash değerleri tek bir set oluşturabilirsiniz.

MD5() çok güçlü bir karma işlev değil. MD5 uzlaşma için bazı yöntemler yayınlanmıştır. Iyi SHA1, ama daha iyi SHA-256. SHA-256 PHP hash() fonksiyonu ile desteklenen ancak henüz MySQL yerli bir fonksiyonu olarak desteklenmiyor değil.

$password = md5($salt.$password.$salt2);

$result = mysql_query("SELECT * FROM members WHERE username = '".$username."'");
while($row = mysql_fetch_array( $result )) {

if ( $username != $row['username'] ) {
    include("header.php"); //Print the message
    include("navigation.php");
    echo "Invalid username or password!";
    include("footer.php");
}
else {
. . .

SELECT (password = SHA1(CONCAT(?, salt))) AS password_matches
FROM members WHERE username = ?

$stmt = $pdo->prepare("SELECT salt FROM members WHERE username = ?");
$stmt->execute( array($username) );
$rows = $stmt->fetchAll();
if (count($rows) > 0) {
  $password_hash = hash('sha256', $password . $rows[0]['salt']);
  $stmt = $pdo->prepare("SELECT password=? AS password_matches 
                         FROM members WHERE username = ?");
  $stmt->execute( array($password_hash, $username) );
  $rows = $stmt->fetchAll();
  if ($rows[0]['password_matches'] > 0) {
    // username and password are correct
  } else {
    // password was wrong
  }
} else {
  // username was not found
}

Birkaç notlar / öneri:

• Geçerli bir kullanıcı adı / şifre kombinasyonu için datebase kontrol edilmeli ve tam bir satır başarı durumunda iade edilmelidir, geçerli kullanıcı adları için bir süre döngü yalnızca adları benzersiz değildir ben onlar olmalıdır varsayalım (hatalara sebep olabilir ama o size kalmış) ve bulunan ilk satır şifrenizi eşleşmiyor.

Lütfen tabloda herhangi bir yinelenen kullanıcılar, orada değil, değil mi? Yani açıklamak soruna yol açacak: İlk satır false döndürür çıktı tarayıcıya gönderilir ve bir sonraki satır geçerli olabilir, ancak başlıkları, artık gönderilemez.

• Sizin ilk deyim mantıklı değilse, zaten $ username == $ row ['username'] tüm satırları seçmiş böylece temelde 1! = 1 için test

Yani sizin kodu basitleştirmek gerektiğini düşünüyorum ve hataları bundan sonra hala varsa, onlar bulmak çok daha kolay olacaktır.

PHP bu tür bir şey için mükemmel bir crypt işlevi vardır. www.php.net / crypt

Bu kullanımı çok kolay hale rastgele tuzları ve şifre ile mağaza onu otomatik oluşturur. Sadece aşağıdaki kodu görebilirsiniz.

Hazırlanan tablolar ile ilgili diğer olanlarla bu cevabı birleştirin ve altın olacak.

Bu (ben sadece bu yüzden şartları alırsınız, bir sürü kod kesmek ve kısayollar götürüyorum) yapardım nasıl:

<?php
# to register:
query('INSERT INTO users (user, pass) VALUES (?, ?)', array($user, crypt($pass)));

# to verify:
$urow = query('SELECT user, pass FROM users WHERE user = ?', array($user));
if (rows() < 1) {
  die('No such user');
} 
else if (crypt($pass, $urow['pass']) != $urow['pass']) {
  die('Wrong password!');
} 
#once you're here, it passed, and so on...
?>

Her şeyden önce üreten konum karma Eğer kayıt sırasında veritabanında eklediğiniz biri ile aynı olduğundan emin olun.

Sonra, bir kullanıcının kimliğini doğrulamak gerektiğini yolu budur:

$res = mysql_query("SELECT just,the,needed,info FROM `members` WHERE `username` = '". esc($user) ."' AND `password` = '". esc($pass) ."'");

if ($hlp = mysql_fetch_assoc($res))
    echo 'ok';
else
    echo 'invalid username or password';

esc () fav nerede. fonksiyonu (mysql_escape_string veya mysql_real_escape_string) kaçarlar.

Şimdi şifre geçerlilik veritabanı içinde kontrol, böylece gerçek karma çıkmak asla.