PDO预处理语句与密码哈希场景下登录校验失败问题求助

核心错误点 #

• SQL查询逻辑错误：你在查询用户时加入了password = :password的条件，传入的是用户输入的明文密码，但数据库存储的是bcrypt加密后的哈希值，明文和哈希值永远不可能相等，导致SELECT语句无法查询到对应用户，后续的password_verify校验逻辑完全不会执行。
• 错误提示覆盖问题：所有分支执行完成后都会统一赋值$error = "Wrong email or password!"，会覆盖掉邮箱格式校验不通过等更精准的错误提示，不利于问题排查和用户反馈。
• 邮箱正则不严谨：正则中的.没有转义，会匹配任意字符，可能导致部分合法邮箱被判定为格式无效。

修复后的login.php代码 #

<?php
    require "../private/php/autoload.php";
    $error = "";
    
    if($_SERVER['REQUEST_METHOD'] == "POST" && isset($_SESSION['token']) && isset($_POST['token']) && $_SESSION['token'] == $_POST['token']){
        $email = $_POST['email'];
        // 修正正则的转义问题
        if(!preg_match("/^[\w\-]+@[\w\-]+\.[\w\-]+$/", $email)){
            $error = "Please enter a valid email.";
        }
        
        $password = $_POST['password'];
        
        if ($error == ""){
            $arr['email'] = $email;
            // 移除查询条件中的密码校验，仅通过邮箱查询用户
            $query = "SELECT * FROM users WHERE email = :email LIMIT 1";
            $stm = $conn->prepare($query);
            // 仅传入邮箱参数
            $check = $stm->execute($arr);
            
            if($check){
                $data = $stm->fetchAll(PDO::FETCH_OBJ);
                if(is_array($data) && count($data) > 0){
                    $data = $data[0];
                    if (password_verify($password, $data->password)){
                        $_SESSION['username'] = $data->username;
                        $_SESSION['user_id'] = $data->user_id;
                        header("Location: index.php");
                        die;
                    }else{
                        // 密码校验失败时才赋值错误
                        $error = "Wrong email or password!";
                    }
                }else{
                    // 邮箱不存在时赋值错误
                    $error = "Wrong email or password!";
                }
            }
        }
        // 移除全局错误赋值，避免覆盖前置的格式校验错误
    }
    $_SESSION['token'] = get_random_string(30);
?>

额外校验建议 #

请确认数据库中存储密码的字段长度不小于60位，bcrypt生成的哈希值固定为60字符，若字段长度不足会导致哈希被截断，password_verify也会校验失败。

内容的提问来源于stack exchange，提问作者Johnny Orlando