PHP+Oracle登录验证问题：无报错却提示用户名/密码错误

我来帮你拆解下这段代码里可能踩的坑，咱们一步步找问题：

1. 缺失错误处理，根本不知道哪里错了 #

你现在的代码只判断了查询结果的行数，但完全没检查SQL解析和执行是否成功。如果数据库连接出问题、SQL语法写错（比如字段名拼错），oci_execute会失败，但你没捕获这个错误，直接就走else分支弹出密码错误的提示。

赶紧加上错误处理，这样就能看到真实的报错信息了：

$results = oci_parse($db, $query);
// 检查SQL解析是否成功
if (!$results) {
    $e = oci_error($db);
    echo "<script>alert('数据库解析错误：" . htmlentities($e['message']) . "');</script>";
    exit;
}

$execute_result = oci_execute($results);
// 检查SQL执行是否成功
if (!$execute_result) {
    $e = oci_error($results);
    echo "<script>alert('数据库执行错误：" . htmlentities($e['message']) . "');</script>";
    exit;
}

2. 直接拼接SQL的风险——特殊字符会导致查询失败 #

你把用户输入的username和password直接拼进SQL里，如果输入里有单引号（比如用户名是O'Neil），会直接破坏SQL语法，导致查询执行失败，自然返回0行结果，触发错误提示。

正确的做法是用绑定变量，既避免SQL注入，又能处理特殊字符：

// 改用带占位符的SQL
$query = "SELECT * FROM student WHERE stud_id = :username AND stud_password = :password";
$results = oci_parse($db, $query);

// 绑定变量
oci_bind_by_name($results, ':username', $username);
oci_bind_by_name($results, ':password', $password);

3. 密码比对逻辑可能不匹配 #

先确认数据库里的stud_password字段存的是明文还是加密后的字符串：

• 如果是加密存储（比如用bcrypt、MD5），你直接用明文密码去比对肯定匹配不上。比如如果是bcrypt存储，应该先查询出用户的加密密码，再用password_verify($password, $row['stud_password'])来验证，而不是把明文写进SQL里。
• 如果是明文存储，那这条暂时不用改，但强烈建议改成加密存储，明文密码太不安全了。

4. 会话初始化问题（潜在坑） #

代码里没看到session_start()，如果这个页面开头没调用这个函数，设置$_SESSION变量会失败。虽然这不会直接导致登录失败提示，但登录成功后会话也用不了，所以记得在页面最顶部加上：

session_start();

修改后的完整示例代码 #

session_start(); // 必须放在页面最开头，输出任何内容之前
if (isset($_POST['login_user'])) {
    $username = $_POST['username'];
    $password = $_POST['password'];
    
    // 注意：如果数据库密码是加密存储的，这里要先查询用户信息，再用password_verify验证
    // 示例（加密存储场景）：
    // $query = "SELECT stud_name, stud_password FROM student WHERE stud_id = :username";
    // 执行查询后，取$row['stud_password']，然后判断password_verify($password, $row['stud_password'])
    
    $query = "SELECT * FROM student WHERE stud_id = :username AND stud_password = :password";
    $results = oci_parse($db, $query);
    
    oci_bind_by_name($results, ':username', $username);
    oci_bind_by_name($results, ':password', $password);
    
    if (!$results) {
        $e = oci_error($db);
        echo "<script>alert('数据库解析错误：" . htmlentities($e['message']) . "');</script>";
        exit;
    }
    
    $execute_result = oci_execute($results);
    if (!$execute_result) {
        $e = oci_error($results);
        echo "<script>alert('数据库执行错误：" . htmlentities($e['message']) . "');</script>";
        exit;
    }
    
    if (oci_num_rows($results) == 1) {
        $row = oci_fetch_assoc($results);
        $_SESSION['fullname'] = $row['stud_name'];
        $_SESSION['username'] = $username;
        echo "<script>alert('Login Successful!'); window.location.href='testing.php';</script>";
    } else {
        echo "<script>alert('Wrong username/password combination!');</script>";
    }
}

先按这个思路排查，优先加错误处理看真实报错，大概率能找到问题所在。

内容的提问来源于stack exchange，提问作者Lovi