PHP连接Oracle数据库登录功能异常，请求技术排查

嘿，我来帮你梳理下这个登录功能可能出问题的地方，结合你的代码来看，主要有这几个需要注意的点：

1. SQL语句的变量拼接问题（安全+语法错误） #

你现在直接把用户输入的$user和$passw拼进SQL里，这不仅有严重的SQL注入风险，还可能因为输入里包含单引号、特殊字符导致SQL语法错误，直接查不到匹配数据。

正确的做法是使用Oracle的绑定变量，用oci_bind_by_name来处理参数：

// 用占位符代替直接拼接变量
$resultado = oci_parse($conn, "SELECT * FROM usuarios WHERE nombre = :user AND passwd = :pass");
// 绑定变量，注意占位符前面的冒号
oci_bind_by_name($resultado, ':user', $user);
oci_bind_by_name($resultado, ':pass', $passw);
oci_execute($resultado);

2. oci_fetch_all的用法错误 #

你当前的代码里$row = oci_fetch_all($resultado);是不对的，oci_fetch_all需要第二个参数来存储结果数组，它的返回值才是获取到的行数。正确的用法应该是：

$res = array();
// 把查询结果存入$res数组，返回匹配的行数
$row_count = oci_fetch_all($resultado, $res);
if ($row_count > 0) {
    // 登录成功的逻辑
    $_SESSION['loggedin'] = true;
    $_SESSION['username'] = $user;
    $_SESSION['start'] = time();
    $_SESSION['expire'] = $_SESSION['start'] + (10 * 60);
    header('location:usuario.php');
    exit;
} else {
    // 登录失败的逻辑
    echo "<script>alert('Usuario y/o Contraseña incorrectas.'); window.location='index.html'</script>";
    session_destroy();
}

原代码里没有传入结果数组，$row的值可能不是你预期的匹配行数，直接导致判断逻辑出错。

3. 密码匹配的潜在问题 #

如果你的数据库里存储的密码是哈希加密后的字符串（比如用password_hash()生成的bcrypt哈希），那直接用明文$passw和数据库里的加密密码对比肯定会失败。这种情况下，你需要先查询对应用户的密码哈希，再用password_verify()来验证：

// 先查询用户的密码哈希
$resultado = oci_parse($conn, "SELECT passwd FROM usuarios WHERE nombre = :user");
oci_bind_by_name($resultado, ':user', $user);
oci_execute($resultado);
$row = oci_fetch_array($resultado, OCI_ASSOC);

if ($row && password_verify($passw, $row['PASSWD'])) {
    // 登录成功逻辑
} else {
    // 登录失败逻辑
}

如果数据库里确实存的是明文密码，这条可以忽略，但强烈建议改成哈希存储，避免安全风险。

4. 调试小技巧 #

可以在执行查询后，添加错误检查代码，方便定位问题：

oci_execute($resultado);
// 检查SQL执行是否有错误
if ($e = oci_error($resultado)) {
    echo "SQL错误信息: " . htmlentities($e['message'], ENT_QUOTES);
    exit;
}

按照上面的方法调整后，应该能解决大部分登录失败的问题啦。

内容的提问来源于stack exchange，提问作者francisco