如何在独立注册与登录表单中正确验证用户密码-php教程-PHP中文网

如何在独立注册与登录表单中正确验证用户密码

本文讲解如何使用 PHP 和 MySQL 安全实现分离式注册与登录功能，重点解决登录时密码验证失效的问题，通过 password_hash() 存储哈希、password_verify() 校验密码，并采用预处理语句防止 SQL 注入。

本文讲解如何使用 php 和 mysql 安全实现分离式注册与登录功能，重点解决登录时密码验证失效的问题，通过 password_hash() 存储哈希、password_verify() 校验密码，并采用预处理语句防止 sql 注入。

在 Web 开发中，将注册（Registration）与登录（Login）逻辑混写在同一段代码中极易引发安全漏洞和逻辑错误——正如你遇到的：用户可凭任意密码成功登录。根本原因在于，你的登录逻辑错误地复用了注册阶段生成的 $hashed_password 变量，而非从数据库中查询该用户的已存储哈希值进行比对。

正确的密码验证流程必须严格分离：

✅ 注册阶段：接收明文密码 → 用 password_hash() 生成强哈希 → 存入数据库字段（如 pwdUtil）；
✅ 登录阶段：根据用户名/邮箱查出数据库中存储的哈希值 → 用 password_verify($input_password, $stored_hash) 进行校验 → 仅当返回 true 才允许登录。

以下是重构后的安全、可维护的实现方案（基于 MySQLi 面向对象风格 + 预处理语句）：

✅ 正确的注册逻辑（独立处理）

if (isset($_POST['reg_user'])) {
    $username = trim($_POST['name']);
    $email    = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
    $password = $_POST['password'];

    // 防重检查：用户名或邮箱任一已存在即拒绝
    $stmt = $db->prepare("SELECT COUNT(*) FROM utilisateur WHERE pseudoUtil = ? OR mailUtil = ?");
    $stmt->bind_param("ss", $username, $email);
    $stmt->execute();
    $count = $stmt->get_result()->fetch_row()[0];

    if ($count > 0) {
        $_SESSION['message'] = "用户名或邮箱已被注册！";
    } else {
        $hashed_password = password_hash($password, PASSWORD_DEFAULT);
        $stmt = $db->prepare("INSERT INTO utilisateur (pseudoUtil, mailUtil, pwdUtil) VALUES (?, ?, ?)");
        $stmt->bind_param("sss", $username, $email, $hashed_password);
        if ($stmt->execute()) {
            $_SESSION['message'] = "注册成功！";
        } else {
            $_SESSION['message'] = "注册失败，请重试。";
        }
    }
}

✅ 正确的登录逻辑（独立处理）

if (isset($_POST['login_user'])) {
    $identifier = trim($_POST['name']); // 支持用户名或邮箱登录（需统一字段逻辑）
    $password   = $_POST['password'];

    // 1. 先查用户是否存在，并获取其密码哈希（注意：WHERE 条件应明确区分字段）
    // 建议：注册时要求邮箱唯一，登录时优先按邮箱匹配；或增加字段标识类型
    $stmt = $db->prepare("SELECT pwdUtil, pseudoUtil FROM utilisateur WHERE mailUtil = ? OR pseudoUtil = ?");
    $stmt->bind_param("ss", $identifier, $identifier);
    $stmt->execute();
    $result = $stmt->get_result();

    if ($result->num_rows === 1) {
        $user = $result->fetch_assoc();
        // 2. 使用 password_verify() 安全比对（绝不拼接 SQL 或直接比较哈希字符串）
        if (password_verify($password, $user['pwdUtil'])) {
            $_SESSION['username'] = $user['pseudoUtil'];
            $_SESSION['logged_in'] = true;
            header('Location: index.php');
            exit;
        } else {
            $_SESSION['message'] = "密码错误，请重试。";
        }
    } else {
        $_SESSION['message'] = "用户不存在，请检查用户名或邮箱。";
    }
}

⚠️ 关键注意事项

禁止 SQL 拼接：原始代码中直接拼接 $username 和 $email 到 SQL 字符串中，存在严重 SQL 注入风险。务必使用 prepare() + bind_param()。
不要复用哈希变量：$hashed_password 是注册时临时生成的，登录时必须从数据库读取对应用户的哈希值。
字段设计建议：若支持“用户名或邮箱”登录，建议在数据库中确保 mailUtil 唯一，并在登录时优先按邮箱查询（避免用户名含 @ 导致歧义）；或新增 login_type 字段明确标识。
密码强度与体验：前端应添加密码强度提示，后端可配合 password_needs_rehash() 实现哈希策略升级。
会话安全：登录成功后建议调用 session_regenerate_id(true) 防止会话固定攻击。