MySQL登录认证异常求助：登录验证始终返回错误

兄弟，我帮你捋捋为啥你的登录验证一直显示错误，代码进不了第一个if判断——核心是几个SQL和mysqli使用的问题，我给你拆解下：

你的代码里的核心错误 #

1. SQL语句语法错误+逻辑错误 #

你写的查询语句直接把POST变量拼进去，而且没加引号：

$chkpassword = " SELECT password FROM member WHERE password = $password1 ";
$chkusername = " SELECT username FROM member WHERE username = $username1";

如果用户输入的密码是字符串（比如123456），这条SQL会变成SELECT password FROM member WHERE password = 123456，SQL会把它当成数字，要是密码带字母就直接语法报错了。而且分开查用户名和密码的逻辑也不对——就算用户名存在、密码存在，但两者不匹配的话，你的判断逻辑也会出错。

2. mysqli::query返回值判断完全错了 #

$conn->query($sql)如果执行成功（哪怕没查到任何记录），返回的是mysqli_result结果集对象，不是布尔值TRUE！只有当SQL语法错误、连接失败这类执行失败的情况才会返回FALSE。所以你写的$conn->query($chkpassword) == TRUE永远不会成立，这就是为啥进不了第一个if的原因！

3. 严重的SQL注入风险 #

直接把用户输入的$_POST参数拼进SQL，黑客可以轻松篡改你的SQL语句，偷走数据库数据或者删库，这是绝对不能碰的写法。

修复后的完整代码 #

我给你改成标准的预处理语句写法，同时修正逻辑：

<?php
$servername = "localhost";
$username = "read";
$password = "projecttest";
$dbname = "test-member";

// 创建连接
$conn = new mysqli($servername, $username, $password, $dbname);

// 检查连接
if ($conn->connect_error) {
    die("Connection failed: " . $conn->connect_error);
}

// 先获取并过滤POST参数，避免空值
$username1 = isset($_POST["username"]) ? trim($_POST["username"]) : '';
$password1 = isset($_POST["password"]) ? trim($_POST["password"]) : '';

// 先判断用户有没有输入内容
if (empty($username1) || empty($password1)) {
    echo "请输入用户名和密码";
    $conn->close();
    exit;
}

// 使用预处理语句，避免SQL注入，同时验证用户名+密码是否匹配
$stmt = $conn->prepare("SELECT id FROM member WHERE username = ? AND password = ?");
// 绑定参数，"ss"表示两个参数都是字符串类型
$stmt->bind_param("ss", $username1, $password1);
// 执行查询
$stmt->execute();
// 存储结果集，方便获取匹配的行数
$stmt->store_result();

// 判断是否找到匹配的用户
if ($stmt->num_rows > 0) {
    echo "successful log in";
    // 这里给你修正重定向的问题：如果要先输出内容再重定向，需要开启输出缓冲
    ob_start();
    echo "<INPUT TYPE='hidden' NAME='redirect' VALUE='http://localhost/IPproject_test1/home.php'>";
    header("Location: http://localhost/IPproject_test1/home.php");
    ob_end_flush();
} else {
    echo "error: 用户名或密码错误";
}

// 关闭语句和连接
$stmt->close();
$conn->close();
?>

关键修复点说明 #

• 预处理语句：用prepare+bind_param把用户输入和SQL语句分离，彻底避免SQL注入，同时解决了字符串参数的引号问题。
• 正确的判断逻辑：通过$stmt->num_rows > 0判断是否有匹配的用户名和密码，这才是验证成功的标准。
• 参数非空检查：先判断用户有没有输入内容，避免空值进入查询。
• 重定向修正：如果要在echo内容后用header重定向，必须开启输出缓冲（ob_start()），否则会因为已经输出内容导致header报错。

内容的提问来源于stack exchange，提问作者DesperatelyNeedHelp