PHP&MySQLi登录系统使用prepared statements失败：正确凭据仍报错求助

Hey there! 别担心，新手刚接触Prepared Statements踩坑太正常了，咱们一步步来揪出问题所在～

一、先排查Prepared Statements的核心错误点 #

以下是新手最容易犯的几个错：

• 参数绑定顺序/索引错误
  比如你的SQL语句是：

  SELECT * FROM users WHERE username = ? AND password = ?
  

  很多语言（比如Java、PHP PDO）的参数绑定是从1开始计数的，如果你把密码绑定到第一个占位符，用户名绑定到第二个，那哪怕输入正确的账号密码，SQL也会查不到匹配的结果，进而触发你代码里的错误逻辑。
  一定要确保绑定的参数顺序和SQL里?的顺序完全对应。

• SQL语句的拼写错误
  检查下你的表名、字段名是不是和数据库里的完全一致？比如数据库里字段是user_name，你写成了username；或者表名是user，你写成了users。这种小错误会导致SQL查询返回空结果，被你的代码误判为“登录错误”。

• 结果集处理逻辑错误
  很多新手会搞错execute()的返回值逻辑：比如对于SELECT语句，execute()返回的是true表示成功生成结果集，而不是“查到了匹配的用户”。你需要通过fetch()（获取单行数据）或者getRowCount()（获取匹配行数）来判断是否有对应的用户。
  举个伪代码的错误例子：

  // 错误逻辑：只要execute返回true就认为登录成功？不对！
  if (stmt.execute()) {
      // 登录成功
  } else {
      // 触发错误
  }
  

  正确的应该是：

  ResultSet rs = stmt.executeQuery();
  if (rs.next()) {
      // 查到用户，登录成功
  } else {
      // 无匹配用户，登录失败（不是SQL错误）
  }
  

• 错误处理逻辑混淆
  你说输入正确和错误账号密码都会触发错误，很可能是把“登录失败（无匹配用户）”和“SQL执行错误”混在一起处理了。比如代码里只要没查到用户就抛出错误，而不是区分“SQL执行异常”和“无匹配结果”两种情况。

二、关于密码哈希的补充建议 #

既然你已经在研究密码哈希了，这里给几个关键提醒：

• 永远不要自己实现哈希算法，用语言自带的安全哈希工具：比如PHP的password_hash()和password_verify()，Java的BCrypt库，Python的bcrypt模块，这些工具已经自动处理了加盐、哈希迭代次数等安全细节。
• 哈希的时候不要额外拼接固定字符串（比如自定义盐），这些内置函数已经生成随机盐并存在哈希值里了，验证时会自动提取。
• 等你把Prepared Statements的问题解决后，优先把明文密码替换成哈希存储，这是登录系统的核心安全要求。

如果可以的话，把你的代码片段贴出来，能更精准地定位问题哦～

内容的提问来源于stack exchange，提问作者Danni1990