S'il vous plaît vérifier rapidement cette implémentation PHP + SALT - ne fonctionne pas?

Question

Construire sur des tutoriels là-bas pour mettre en œuvre un enregistrement de base de l'utilisateur + système de connexion avec du sel. Pour l'instant je l'utilise pour l'étape d'inscription:

define('SALT_LENGTH', 9); 

function generateHash($plainText, $salt = null) 
{ 
    if ($salt === null) 
    { 
     $salt = substr(md5(uniqid(rand(), true)), 0, SALT_LENGTH); 
    } 
    else 
    { 
     $salt = substr($salt, 0, SALT_LENGTH); 
    } 

    return $salt . sha1($salt . $plainText); 
} 

$newpass = generateHash($_POST['newpass']); 

followed by: 

$sql = "INSERT INTO user SET 
       userid = '$_POST[newid]', 
       password = PASSWORD('$newpass'), ... etc" 

Cela fonctionne très bien.

Je veux maintenant comparer le mot de passe d'entrée pour vérifier l'égalité (dans un fichier de contrôle d'accès séparé):

define('SALT_LENGTH', 9); 

function generateHash($plainText, $salt) 
{ 

    $salt = substr($salt, 0, SALT_LENGTH); 

    return $salt . sha1($salt . $plainText); 
} 

$sql = "SELECT password FROM user WHERE 
     userid = '$uid'"; 
$result = mysql_query($sql); 
$row = mysql_fetch_row($result); 


$comparepwd = generateHash($pwd, $row['password']); 


if (mysql_num_rows($result) == 0 || $comparepwd != $row['password']) { 

//access denied, unset session variables 
} 

En principe, je crois que cela devrait fonctionner. Je suis assez nouveau avec PHP/MySQL, je serais extrêmement reconnaissant si vous pouviez conseiller sur pourquoi cela ne fonctionne pas. Merci beaucoup!

EDIT: Il suffit de réaliser, est-ce parce

INSERT INTO user SET 
        userid = '$_POST[newid]', 
        password = PASSWORD('$newpass') 

le MOT DE PASSE ('de newpass de $) fait plus hasing MySQL?

Answer 1

Oui, la fonction de mot de passe est un hachage unidirectionnel et vous ne devriez pas l'utiliser vraiment!

http://dev.mysql.com/doc/refman/5.0/en/encryption-functions.html#function_password