Comment comparer les mots de passe des utilisateurs pour se connecter avec ce code?

Question

J'ai un code ici pour un système de connexion, qui est purement ou à des fins d'apprentissage, créé avec l'aide des gens de stackoverflow, et on m'a dit de ne pas stocker le sel et le hash, mais plutôt ensemble. Je me demande comment je vais comparer les mots de passe lorsque l'utilisateur essaie de se connecter. Si le sel n'est pas stocké, comment puis-je comparer les deux? Quelqu'un peut-il aider?

require("constants.php"); 
$DBH = new mysqli($dbhost, $dbuser, $dbpass, $dbname); 

function createSalt() { 
    $length = mt_rand(64, 128); 
    $salt = ''; 
    for ($i = 0; $i < $length; $i++) { 
     $salt .= chr(mt_rand(33, 255)); 
    } 
    return $salt; 
} 
//Salt function created by ircmaxell 

function registerNewUser() { 
    //Check to see if  Username Is In Use// 
    $q = $DBH->prepare("SELECT id FROM users WHERE username = ?"); 
    $username = filter_var($username, FILTER_SANITIZE_STRING); 
    $data = array($username); 
    $q->execute($data); 
    $row = $q->fetch(); 

    if ($row === false) { 
     //If Username Is Not Already In Use Insert Data// 
     $hash = hash('sha256', $pass); 
     $salt = createSalt(); 
     $hash = hash('sha256', $salt . $hash . $pass); //UPDATED 
     $data = array($username, $hash, $salt); 
     $qInsert = $DBH->prepare(
      "INSERT INTO users (username, password, salt) values (?, ?, ?)" 
     ); 
     $qInsert->execute($data); //Inserts User Data Into Table// 
    } 
} 

Answer 1

Vous avez à interroger votre base de données pour récupérer la ligne de l'utilisateur (le cas échéant), obtenir le sel et utiliser le même algorithme sur le mot de passe fourni par l'utilisateur. Si les deux hashes correspondent, l'utilisateur a fourni un bon mot de passe.

faire un code qu'il ferait quelque chose comme ceci:

$qSelect = $DBH->prepare('SELECT salt,password FROM users WHERE username = ?'); 
$qSelect->execute(); 
$qSelect->bind_result($salt, $db_password); 
$qSelect->fetch(); 

if($salt == null){ 
    // username doesn't exist 
    return; 
}  

$hash = hash('sha256', $pass); 
$hash = hash('sha256', $salt . $hash . $pass); 
if($hash == $db_password){ 
    // login ok 
} else { 
    // login nok 
} 

Answer 2

le même travail:

$hash = hash('sha256', $row['salt'] . hash('sha256', $pass) . $pass); 
if ($row['password'] == $hash) { 
    // the password is correct 
} 

Où $row a été tiré de la base de données en fonction du nom d'utilisateur et $pass est le mot de passe récupéré du formulaire.

En outre, il est inutile d'inclure le mot de passe dans le double hachage: haché et le texte brut un

$hash = hash('sha256', $salt . $pass); // this would be enough 

Answer 3

Questions:

1) Votre méthode pour créer un hachage de mot de passe du hachage + sel est non traditionnel. Ce n'est pas strictement un problème, ce n'est pas ce que vous vouliez. Zerkms a fait ce point assez clairement. 2) Votre insertion de base de données nécessite soit que ce nom d'utilisateur soit une colonne unique et qu'il manque une gestion des exceptions, soit qu'il soit vulnérable à une course qui entraînera plusieurs utilisateurs avec le même nom d'utilisateur et différents mots de passe (et différents ID si est une clé)