PHP

Comparaison de mot de passe mysql/php

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : Comparaison de mot de passe mysql/php

ULK-

Bonjour,

Je cherche a donner accès a des rubriques de mon site en fonction des droits des utilisateur sur ma base Mysql
Par exemple si la personne avec les droits UPDATE se logue, elle aura accès aux rubrique de modifications

J'ai donc un formulaire avec login/mot de passe

Puis je teste l'ensemble de cette façon :

Code :

// Je possède 2 variables $login et $password, récupérées du formulaire
// J'ai selectionné la base "mysql"
$checkUser = "SELECT user, password FROM user WHERE user = '".$login."'";
$resCheckUser = mysql_query($checkUser) or die ( mysql_error() );
if ($resCheckUser) {
$success = mysql_num_rows($resCheckUser);
// Si utilisateur existe
if($success==1) {
$tmp = mysql_fetch_row($resCheckUser);
$pass = $tmp[1];
//Si le mot de passe concorde
if ($password==$pass) {
$ret=true;
}
}
}

Le soucis c'est au niveau de ma comparaison de mot de passe, ça n'est jamais égal, car mysql crypte les mot de passe (un truc genre a1dc91c907325c )

Je voulais donc crypter la valeur de $password avant la comparaison, avec les fonction php, mais que ça soit avec md5($password), sha1($password) les chaines ne sont jamais égales.

Je précise que j'ajoute les utilisateurs et mot de passe en passant par phpmyadmin

Message cité 1 fois

Publicité

AlphaZone

Salut,

Pourquoi tu ne crypte pas ta valeur et tu fais ta comparaison dans ta requête ? C'est bien plus simple et plus sécurisé.

A l'origine MySQL ne crypte pas les mots de passe. Vérifie que le type de ton champs est une chaine de caractère. A mon avis tu dois te tromper quelque part.

---------------
"Nous avons tous nos machines du temps. Celles qui nous ramènent en arrière sont les souvenirs, celles qui nous projettent en avant sont les rêves."

durkheim

Peut être il y a-t-il un champ de type password dans mysql??

naceroth

ULK- a écrit :

Je précise que j'ajoute les utilisateurs et mot de passe en passant par phpmyadmin

Dans ce cas, c'est plutôt à phpmyadmin qu'il faudrait poser la question.

Il utiliserait pas la fonction password() de Mysql par hasard ?

ULK-

Merci pour les réponses

Si je comprend, il faudrais que je teste avec ce type de requete :

SELECT * FROM user WHERE user = '".$login."' AND password = PASSWORD('".$password."')

Ou je me trompe...

Message cité 1 fois

AlphaZone

Oui l'idée c'est ça

Mais je te conseillerais de crypter tes mots de passe en md5

---------------
"Nous avons tous nos machines du temps. Celles qui nous ramènent en arrière sont les souvenirs, celles qui nous projettent en avant sont les rêves."

FlorentG

ULK- a écrit :

Merci pour les réponses

Si je comprend, il faudrais que je teste avec ce type de requete :

SELECT * FROM user WHERE user = '".$login."' AND password = PASSWORD('".$password."')

Ou je me trompe...

Attention, si les magic_quotes_gpc sont pas activée, t'as une énorme faille de sécurité. utiliser mysql_real_escape_string() autour de $login

ULK-

>Alphazone, tu veux dire avant de les insérer ? a la création de l'utilisateur ?
J'imagine que phpmyadmin le fait, faudrais voir ce qu'il fait, lors de l'ajout d'un utilisateur, j'avais parcouru ces fichier pour voir, mais j'avoue m'y être un peu perdu.

>FlorentG, Merci, elle ne sont effectivement pas activée en vue de php6, j'ai utilisé addslashes après chaque récupération de variable $_POST, ça dois le faire non ?

edit : voici ma fonction qui a l'air de fonctionner, mais je suis ouvert a vos remarques :

Code :

public function checkUser($login=null, $password=null) {
$ret=false;
if($login==null || $password==null) {
$login = GestionSession::getInstance()->getUser();
$password = GestionSession::getInstance()->getPass();
}
// La valeur par défaut (droits restreints) doit renvoyer faux, on ne la teste donc pas
if ($login!=constant("USERDEFAUT" )) {
// On selectionne la base mysql
$this->select("mysql" );
$checkUser = "SELECT user, password FROM user WHERE user = '".$login."' AND password = PASSWORD('".$password."')" ;
$resCheckUser = mysql_query($checkUser) or die ( mysql_error() );
// on reselectionne la base par défaut
$this->select();
if ($resCheckUser) {
$success = mysql_num_rows($resCheckUser);
// Si utilisateur existe
if($success==1) {
$ret=true;
}
}
}
return $ret;

Message cité 1 fois
Message édité par ULK- le 27-07-2007 à 11:22:50

---------------
Mes ventes

AlphaZone

ULK- a écrit :

>Alphazone, tu veux dire avant de les insérer ? a la création de l'utilisateur ?

Yes !

---------------
"Nous avons tous nos machines du temps. Celles qui nous ramènent en arrière sont les souvenirs, celles qui nous projettent en avant sont les rêves."

scorbutic

Encode ton mot de passe en md5 a la création :-) du genre md5($mdp). Puis après tu fais ta verif sur md5($mpd_util) par rapport à celui qui est dans la BDD.

Ca marche plutot bien, et c'est "relativement" fiable =)

Publicité

FlorentG

Notez que pour des mots de passes simples (style [a-zA-Z0-9]), md5 n'est plus très fiable. Moi j'utilise sha256

Message cité 1 fois

omega2

FlorentG > T'utilises quoi pour obtenir un sha256 avec un site en php?

FlorentG

hash('sha256', $pouet);

Message cité 1 fois

AlphaZone

FlorentG a écrit :

Notez que pour des mots de passes simples (style [a-zA-Z0-9]), md5 n'est plus très fiable. Moi j'utilise sha256

Pourrais-tu donner un peu plus de détail ?

Message cité 1 fois

---------------
"Nous avons tous nos machines du temps. Celles qui nous ramènent en arrière sont les souvenirs, celles qui nous projettent en avant sont les rêves."

FlorentG

AlphaZone a écrit :

Pourrais-tu donner un peu plus de détail ?

Y'a plein de site, style md5.rednoize.com ou d'autres qui te retrouvent soit l'orgine, soit une collision avec des md5

AlphaZone

Merci pour le lien. Je ne connaissais pas

---------------
"Nous avons tous nos machines du temps. Celles qui nous ramènent en arrière sont les souvenirs, celles qui nous projettent en avant sont les rêves."

ULK-

Autre question :

Lorsque j'ai un champ formulaire du type :

Code :

<select name="boites">
<option selected = "selected" value="Boite "GE"">Boite "GE"</option>
[/select]

Ce qui donne ' Boite "GE" ', a l'affichage.

Je recupere, la variable avec $_POST['boites']
Le truc c'est que cette variable a pour valeur ' Boite "GE" ', alors que pour moi elle devrais avoir pour valeur ' Boite "GE" ' (cad la valeur de value en html)

Un traitement est donc effectué, entre la valeur dans value, et la recuperation de la variable
Un traitement comme html_entities_decode

Est ce que ce que je dis est exact ? Et si oui comment ne pas dépendre de ce traitement automatique ?

---------------
Mes ventes

FlorentG

C'est exact, et il n'y a rien à faire... Ou alors faut doublement échapper la variable, mais ça fait chelou

TheRom_S

il y a aussi la fonction crypt de PHP qui est assez intéressante puisque le résultat n'est pas toujours le même, c'est ce que j'utilise

---------------
The Rom's, à votre service

Kyfun

Les choses se passent !

FlorentG a écrit :

hash('sha256', $pouet);

Perso je rajoute un "grain de sel", au sha , ça ajoute une bonne dose de sécu.

Code :

$grainDeSel = "unechainequifaitgraindesel"; //grain de sel
$pwd = $pwd.$grainDeSel;
$pwd = sha1($pwd); //hash sha

---------------
Comme dirait quelqu'un de beaucoup plus avisé que moi, quelquefois c'est toi qui cognes le bar mais d'autres fois, et ben, c'est le bar qui te cogne.

FORUM HardWare.fr

Programmation

PHP

Comparaison de mot de passe mysql/php

Sujets relatifs
[RESOLU] MySQL jointure sur clé primaire LENTE	[MySQL]Installation Drivers ODBC sous Vista en lignes de commandes
[MYSQL] Update un peu tordu	MySQL: UTF8 vs. latin_swedish & error 1406
[VB 2005] Utilisation de Base de donnée MySQL	mysql 5
[PHP/MySQL] Automatisation convertion xls -> csv pour update BDD (en p	Un logiciel pour administrer une base de donnée MySQL ?
[Résolu] Lancement script avec MySQL Query Browser	Pb d'insertion CSV dans MySQL
Plus de sujets relatifs à : Comparaison de mot de passe mysql/php

Page générée en 0.075 secondes