使用 PDO 预处理语句和密码哈希进行安全用户登录（预处理.用户登录.语句.密码.PDO...）

wufei1232025-07-26PHP1

使用 pdo 预处理语句和密码哈希进行安全用户登录

本文档旨在指导开发者如何安全地使用 PDO 预处理语句和密码哈希技术实现用户登录功能。重点在于避免在数据库查询中使用未哈希的密码，确保用户密码的安全存储和验证。通过本文，您将学习如何正确地验证用户身份，防止潜在的安全风险。

安全用户登录的实现方法

实现安全用户登录的关键在于正确地处理用户密码。以下步骤详细介绍了如何使用 PDO 预处理语句和密码哈希技术来实现这一目标：

仅使用邮箱进行数据库查询：
修改数据库查询，只根据邮箱地址查找用户。假设 users 表中 email 字段是唯一的，可以使用以下 SQL 查询语句：
```
SELECT * FROM users WHERE email = :email LIMIT 1
```
这样做避免了直接在 SQL 查询中使用未哈希的密码，降低了密码泄露的风险。

获取用户信息并验证密码：
在 PHP 代码中，执行上述查询，并获取查询结果。如果找到了用户，则使用 password_verify() 函数来验证用户输入的密码与数据库中存储的哈希密码是否匹配。

<?php
// 假设 $conn 是你的 PDO 连接对象
$email = $_POST['email'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE email = :email LIMIT 1";
$stm = $conn->prepare($query);
$stm->execute(['email' => $email]);
$data = $stm->fetch(PDO::FETCH_OBJ);

if ($data) {
    if (password_verify($password, $data->password)) {
        // 密码验证成功，设置 session 并跳转
        $_SESSION['username'] = $data->username;
        $_SESSION['user_id'] = $data->user_id;
        header("Location: index.php");
        die;
    } else {
        // 密码验证失败
        $error = "Wrong email or password!";
    }
} else {
    // 用户不存在
    $error = "Wrong email or password!";
}
?>

密码哈希：
在用户注册或修改密码时，使用 password_hash() 函数对密码进行哈希处理。该函数使用安全的哈希算法（如 bcrypt）生成密码的哈希值，并自动处理 salt。
```
<?php
$password = $_POST['password'];
$hashed_password = password_hash($password, PASSWORD_DEFAULT);
// 将 $hashed_password 存储到数据库中
?>
```
注意事项：
- PASSWORD_DEFAULT 会随着 PHP 版本的更新而使用更安全的算法。
- password_hash() 函数会自动生成一个随机的 salt，并将其与哈希值一起存储。

完整的登录代码示例：

<?php
require "../private/php/autoload.php";
$error = "";

if($_SERVER['REQUEST_METHOD'] == "POST" && isset($_SESSION['token']) && isset($_POST['token']) && $_SESSION['token'] == $_POST['token']){
    $email = $_POST['email'];
    if(!preg_match("/^[\w\-]+@[\w\-]+.[\w\-]+$/", $email)){
        $error = "Please enter a valid email.";
    }

    $password = $_POST['password'];

    if ($error == ""){
        $query = "SELECT * FROM users WHERE email = :email LIMIT 1";
        $stm = $conn->prepare($query);
        $stm->execute(['email' => $email]);

        $data = $stm->fetch(PDO::FETCH_OBJ);

        if($data){
            if (password_verify($password, $data->password)){
                $_SESSION['username'] = $data->username;
                $_SESSION['user_id'] = $data->user_id;
                header("Location: index.php");
                die;
            } else {
                $error = "Wrong email or password!";
            }
        } else {
            $error = "Wrong email or password!";
        }
    }

}
$_SESSION['token'] = get_random_string(30);
?>

安全要点总结