How to check username and password matches the database values

I’m really sorry if the question looks silly. But I’ve been trying for days to check my username and password in the database matches what I’m typing in the html page. This is my Login form.

 
 
--> Username 
 
--> Your password 
 
Reset  

And this is the code( php ) I’m using in Dashboard.php

 if ($un == $check_username && $pw == $check_password) < $message = "ok"; echo ""; header("Location: Doctors.php"); > else < $message = "No"; echo ""; header("Location: Doctors.php"); > ?> 

I really tried like thousands of times, but couldn’t figure out where I went wrong. Can anyone please help me? I know my code is open to SQL injection, but I don’t care about it as this is a example I needed to show to my friends So neglect that part.

105k 17 17 gold badges 119 119 silver badges 173 173 bronze badges
asked Oct 18, 2017 at 21:43
Jananath Banuka Jananath Banuka
673 3 3 gold badges 8 8 silver badges 18 18 bronze badges

«I know my code is open to SQL injection, but I don’t care«. Some of the most dangerous words ever written 🙂

Oct 18, 2017 at 21:45

Why show your friends an example of something no one should ever do? Show them how to do it correctly from the start. Additionally you’ve not once actually stated what problem you’re actually having.

Oct 18, 2017 at 21:46

It’s good to know that: you are saving passwords on db as plain text, very bad, but prolly you don’t care. And comparing them very wrong as well.

Oct 18, 2017 at 21:50
Don’t mix different database interfaces. You cannot use mysql_fetch_assoc when you’re using mysqli .
Oct 18, 2017 at 21:51

You’re also trying to fetch log_username and log_password from the database; but referencing them as username and password in the $row array

Oct 18, 2017 at 21:54

3 Answers 3

Stack Overflow is for «professional and enthusiast programmers.» With respect, you’ve shown us code in your question that isn’t even close to being worthy of either name. It’s grossly insecure, and if you put it on the public internet, your site will be cracked by cybercriminals.

StackOverflow people don’t have much of a sense of humor about bad security code. You get strong reactions to code like yours because, well, Equifax, and Ashley Madison, and Adobe, and all the rest of the places that have been cracked by cybercriminals. Why do we jump on you? Because we don’t like cybercriminals and we don’t want to make life easy for them. Friends don’t let friends do bad password security. Friends don’t show friends grossly insecure password-validation code.

What’s wrong with your code? You’re storing passwords as plain text, and you’re vulnerable to SQL injection. I will address the first of these issues.

Fortunately, php has outstanding industry-leading facilities to do password security. Read about them here. http://php.net/manual/en/faq.passwords.php Use them. How do you handle passwords?

1. When a user registers on your site and first presents a password, you hash it, in your code running on your server, something like this.

 $usersPassword = $_POST['password']); $hash = password_hash( $usersPassword , PASSWORD_DEFAULT ); // you then store the username and the hash in your dbms. // the column holding the hash should be VARCHAR(255) for future-proofing // NEVER! store the plain text (unhashed) password in your database 

1. When a user tries to log in, you do a query like this on your server:

 SELECT log_password FROM log_user WHERE log_username = TheUsernameGiven 

 $usersPassword = $_POST['password']); $valid = password_verify ( $usersPassword, $hash ); if ( $valid ) < if ( password_needs_rehash ( $hash, PASSWORD_DEFAULT ) ) < $newHash = password_hash( $usersPassword, PASSWORD_DEFAULT ); /* UPDATE the user's row in `log_user` to store $newHash */ >/* log the user in, have fun! */ > else < /* tell the would-be user the username/password combo is invalid */ >

This sequence is futureproof, because it can rehash passwords later if the old hashing method gets too easy for cybercreeps to crack. Many user accounts have lifetimes far longer than versions of packages like php.

For credentials like passwords to remain secret, you must use https, not http, to connect between browser and server. Otherwise cybercriminals can intercept the traffic from your user to your server and grab her password. It can be a pain in the xxx neck to rig up an https-enabled server, but it’s a critical part of deploying a web application. (Services like Heroku allow you to test your apps with https easily.)

Как проверить данные для авторизации через MySQL?

Я хочу сделать проверку по логину и паролю для авторизации через MySQL
В гугле, почти все делают через условие с функцией определяющие количество
таких же логинов и паролей, но как я понял php поменял что-то в функции.
Найти через документацию не удалось. Вопрос заключается в том что, как и через
что теперь нужно проверять данные через MySQL? В моем случае это логин и пароль.

Fatal error: Uncaught TypeError: mysqli_num_rows(): Argument #1 ($result) must be of type mysqli_result, bool given in

Функция и код:
if (mysqli_num_rows($checkUser) > 0)

• Вопрос задан более двух лет назад
• 468 просмотров

3 комментария

Простой 3 комментария

Immortal_pony @Immortal_pony Куратор тега PHP

Побольше кода выложите. Система вам английским по белому пишет «ожидали, что вы передадите функции mysqli_num_rows переменную типа mysqli_result, а вы ей булевый шлак подсунули, негодник». Откуда у вас эта переменная взялась? Почему в ней значение не того типа?

Sanzhar Bazarbek @Rezvor Автор вопроса

$email = $_POST['email']; $password = md5($_POST['password']); $checkUser = mysqli_query($connect, "SELECT * FROM `users` WHERE `email` == '$email' AND `password` == '$password'"); if (mysqli_num_rows($checkUser) > 0) < >else < $_SESSION['messageL'] = "Не верный логин или пароль"; // header("Location: /login/index.php"); >

Сергей delphinpro @delphinpro Куратор тега PHP

Sanzhar Bazarbek, Теперь прочитайте документацию https://www.php.net/manual/ru/mysqli.query.php
и узнайте, в каких случаях функция возвращает false. Спойлер: ошибка при выполнении запроса.
Потом определите, почему у ваш запрос выполняется с ошибкой.
Также, задайтесь вопросом, почему вы эту ошибку не видите.

Решения вопроса 1

Immortal_pony @Immortal_pony Куратор тега PHP

mysqli_query возвращает false если во время выполнения запроса произошла ошибка. Поэтому, если вы уж пишете в таком стиле, то извольте проверять, что во время выполнения запроса ошибки не произошло. Примерно так:

$checkUser = mysqli_query($connect, "SELECT * FROM `users` WHERE `email` == '$email' AND `password` == '$password'"); if ($checkUser === false)

Это очень хороший вопрос.
Ответ на него — никак не использовать.

Да, в mysqli действительно есть специальная функция, которая может сказать, какое количество строк вернул запрос SELECT.
Традиционно употребляется в двух случаях:

а) когда это не нужно
б) когда приводит к катастрофическим последствиям

Первый вариант — это когда мы хотим узнать, вернул ли запрос хоть какие-то данные, или нет. Но на этот случай у нас есть сами данные. Зачем отдельно запрашивать их количество, если мы все равно будем эти данные получать в переменную, которую потом и можно будет использовать чтобы узнать, вернул ли запрос что-нибудь или нет.

Второй вариант — если эта функция используется чтобы посчитать, сколько строк лежит в БД. В таком варианте это будет откровенное вредительство, поскольку данных может быть очень много, и все эти данные БД должна сначала получить у себя, а потом отправить в РНР. Заняв всю доступную память или даже вызвав фатальную ошибку нехватки памяти.

Правильным решением этой задачи будет сделать запрос вида SELECT COUNT(*) FROM . В этом случае БД сама внутри себя посчитает количество строк (очень быстро) и вернёт только одно число, которое не занимает оперативную память вообще.

Вот и получается, что функция mysqli_num_rows() является либо вредной, либо бесполезной

В данном случае надо сначала получить записи из БД

// БЕЗОПАСНО выполняем запрос $stmt = $link->prepare("SELECT * FROM comments WHERE art_id = ?"); $stmt->bind_param("s", $note_id); $stmt->execute(); // получаем данные $result = $stmt->get_result(); $comments = $result->fetch_all(MYSQLI_ASSOC);

А после этого уже их выводить

   
  Эту запись еще никто не комментировал

Как видно, никакой mysqli_num_rows нам не понадобилось

‘ OR 1=1/* SQL Injection Login Bypass Question

Recently I came across a SQL Injection Cheat Sheet which contains this particular cheat sheet which I am confused by ‘ or 1=1/* Assuming I am testing it on this server-side code below.

SELECT * FROM users WHERE login='$login' AND password='$password'; 

Well I can’t seem to bypass it with that cheat sheet. I am just curious why do they include it as a cheat sheet instead? How is that particular cheat sheet used? What I am guessing and using my logic is there is only possibility of this cheat sheet usage is where the programmer mistakenly placed the ending comment tag */ behind the SQL query as shown in the server-side code below.

SELECT * FROM users WHERE login='' or 1=1/*' AND password='$password' */; 

Feel free to explain the usage and also possibly verify my own understanding of this particular cheat sheet’s usage instead. Edited : For misunderstandings , what I meant for */ at the end of the code as mentioned if a programmer mistakenly put it is shown below.

SELECT * FROM users WHERE login='$login' AND password='$password' */; 

asked May 12, 2019 at 10:59
57 1 1 gold badge 4 4 silver badges 10 10 bronze badges
Comments are not for extended discussion; this conversation has been moved to chat.
May 14, 2019 at 9:00

1 Answer 1

There are a few considerations here, first is to explain how this is supposed to work:

SQL injections are a very old kind of hack that should not affect modern SQL implementations. Back before you could use prepared statements, SQL queries were normally made using concatenated strings. This meant that whatever your input was would become part of the executed sql like this:

$login = "John"; $password = "' OR 1=1 --"; $myIP = '555.555.555.555'; $sql = "SELECT * FROM users WHERE login='" . $login . "' AND password='" . $password . "' AND userip = '" . $myIP . "'"; echo $sql; 

OUTPUT: SELECT * FROM users WHERE login=’John’ AND password=» OR 1=1 — AND userip = ‘555.555.555.555’

That first ‘ will close the string quote to keep the syntax valid. Then, because 1 always equals 1, you create a select statement that is always true. That means that you will select the user «John» allowing you to log in as him with no knowledge of his password. Then — is the SQL syntax to remark anything that comes after it. This is used to eliminate any other conditions that might prevent your successful login such as IP validation or something of that nature.

The second thing here is the /*. This will actually break a 1=1 injection because that is invalid transact SQL syntax. That said, /* can be used in an execution level attack. Many developers put too much trust in prepared statements. Just because it does not execute input at the SQL transaction does not mean it can’t contain stuff that can be executed later.

For example, if you have an input box on a website, and you want to test to see if the site is vulnerable to JS-XSS attacks, you could input » /*». This means that when your program goes to take this from your database and run it, you’ll execute a JavaScript that remarks the remainder of your page, then it will kill your program when you try to load the output of that information.

In short your source is mixing up remarking syntax for 2 different kinds of attacks, but they are both legitimate concerns given the right vulnerabilities.

PHP Connect to MySQL

PHP 5 and later can work with a MySQL database using:

• MySQLi extension (the «i» stands for improved)
• PDO (PHP Data Objects)

Earlier versions of PHP used the MySQL extension. However, this extension was deprecated in 2012.

Should I Use MySQLi or PDO?

If you need a short answer, it would be «Whatever you like».

Both MySQLi and PDO have their advantages:

PDO will work on 12 different database systems, whereas MySQLi will only work with MySQL databases.

So, if you have to switch your project to use another database, PDO makes the process easy. You only have to change the connection string and a few queries. With MySQLi, you will need to rewrite the entire code — queries included.

Both are object-oriented, but MySQLi also offers a procedural API.

Both support Prepared Statements. Prepared Statements protect from SQL injection, and are very important for web application security.

MySQL Examples in Both MySQLi and PDO Syntax

In this, and in the following chapters we demonstrate three ways of working with PHP and MySQL:

• MySQLi (object-oriented)
• MySQLi (procedural)
• PDO

MySQLi Installation

For Linux and Windows: The MySQLi extension is automatically installed in most cases, when php5 mysql package is installed.

PDO Installation

Open a Connection to MySQL

Before we can access data in the MySQL database, we need to be able to connect to the server:

Example (MySQLi Object-Oriented)

$servername = «localhost»;
$username = «username»;
$password = «password»;

// Create connection
$conn = new mysqli($servername, $username, $password);

// Check connection
if ($conn->connect_error) die(«Connection failed: » . $conn->connect_error);
>
echo «Connected successfully»;
?>

Note on the object-oriented example above:

$connect_error was broken until PHP 5.2.9 and 5.3.0. If you need to ensure compatibility with PHP versions prior to 5.2.9 and 5.3.0, use the following code instead:

// Check connection
if (mysqli_connect_error()) die(«Database connection failed: » . mysqli_connect_error());
>

Example (MySQLi Procedural)

$servername = «localhost»;
$username = «username»;
$password = «password»;

// Create connection
$conn = mysqli_connect($servername, $username, $password);

// Check connection
if (!$conn) die(«Connection failed: » . mysqli_connect_error());
>
echo «Connected successfully»;
?>

Example (PDO)

$servername = «localhost»;
$username = «username»;
$password = «password»;

try $conn = new PDO(«mysql:host=$servername;dbname=myDB», $username, $password);
// set the PDO error mode to exception
$conn->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
echo «Connected successfully»;
> catch(PDOException $e) echo «Connection failed: » . $e->getMessage();
>
?>

Note: In the PDO example above we have also specified a database (myDB). PDO require a valid database to connect to. If no database is specified, an exception is thrown.

Tip: A great benefit of PDO is that it has an exception class to handle any problems that may occur in our database queries. If an exception is thrown within the try < >block, the script stops executing and flows directly to the first catch() < >block.

Close the Connection

The connection will be closed automatically when the script ends. To close the connection before, use the following:

Проверка Логина и Пароля [закрыт]

Закрыт. Этот вопрос не по теме. Ответы на него в данный момент не принимаются.

Вопросы с просьбами помочь с отладкой («почему этот код не работает?») должны включать желаемое поведение, конкретную проблему или ошибку и минимальный код для её воспроизведения прямо в вопросе. Вопросы без явного описания проблемы бесполезны для остальных посетителей. См. Как создать минимальный, самодостаточный и воспроизводимый пример.

Закрыт 7 лет назад .

 else < echo "Неверный Логин или Пароль"; >?> 

Вот что здесь не верно, оно мне пишет «Неверный Логин или Пароль» Даже если пароль и Логин верны, что делать? Заранее спасибо)

Как узнать логин и пароль от Mysql и phpmyadmin? (ubuntu 5.0) root доступ имею (ЗАБЫЛ) — 1

Гость

лучший ответ Ищите файл my.cnf. В нем могут содержаться эти данные (а могут и не содержаться — туда они записываются для использования клиентом, поставляемым вместе с сервером MySQL).

Файл может быть в /root/ или где-нибудь в /etc/

• Как узнать логин и пароль от Mysql и phpmyadmin? (ubuntu 5.0) root доступ имею (ЗАБЫЛ)
• Как восстановить пароль root к mysql? Как восстановить пароль root к mysql под linux
• Могу ли я, имею ftp доступ к сайту на joomla, узнать пароль супер-администратора?
• Помогите установить пароль root mysql. Люди, пожалуйста помогите установить пароль root mysql
• Забыл пароль от root аккаунта MySQL как восстановить, что делать?

Новые вопросы

• Как упорядочивать номера записей в базе данных mysql?
• Код на PHP + mySQL механизм взаимодействия
• MySQL Error Not connection задолбала
• КАК СОЗДАТЬ СТОЛБЕЦ В MYSQL SAMP
• PHP MySQL выдернуть записи и тут же их удалить вернув результат

Как узнать свой логин и пароль от админки?

а почту/логин как узнать кроме как в phpmyadmin?

Casser

Только через базу данных, а уж чем вы её оттуда достанете — ваш выбор.

IamB

• Испытатели
• Сообщений: 1063

#5 29 октября 2020 в 21:40

Casser, выполнить запрос сменить email или пароль главного администратора. В phpMyAdmin посмотреть email и восстановить пароль. На форуме была тема, надо поискать.

Sense

Блин, проблема в том, что я там помоему оставил почту: admin@cms.com
т.к. делал запрос на свои почты все, не приходит письмо

Casser

• Испытатели
• Сообщений: 247

#6 29 октября 2020 в 21:41
спасибо, буду думать…

Casser

• Испытатели
• Сообщений: 247

#7 30 октября 2020 в 13:39
Casser, вы вопрос свой решили?
Если нет, то есть ли у вас доступ к этому сайту по ftp?

IamB

• Испытатели
• Сообщений: 1063

#8 30 октября 2020 в 13:58
По моему, в базе и пароль в мд5 и еще соль к нему, то есть раскодировать его не вариант

Jestik

• Испытатели
• На орбите
• Сообщений: 3134

#9 30 октября 2020 в 14:00
Jestik, я ему могу помочь e-mail достать.

IamB

• Испытатели
• Сообщений: 1063

#10 2 ноября 2020 в 08:02

@IamB, я емайл узнал через панель phpmyadmin, но пароль там закодирован, а по восстановлению пароля на почту письма не приходят…
Не знаю что делать.

А этот совет поможет?
/forum/thread30968-1.html#302707

Casser

• Испытатели
• Сообщений: 247

#11 2 ноября 2020 в 08:10

Думаю поможет, да и что вы теряете, если доступа нет.
Муха села на варенье, Вот и всё стихотворенье.

Evg

• Нижний Новгород
• Испытатели
• Сообщений: 427

#12 2 ноября 2020 в 12:07

Вы можете сгенерировать хеш пароля используя другой свой сайт. Зайдите на другой сайт под админом и в разделе Пользователи создайте нового пользователя с требуемой почтой и паролем. Затем открываете в phpmyadmin на редактирование записи об забывчивом админе на обоих сайтах. Переносите хеш пароля, если версия CMS «свежая». Или password и password_salt, если версия CMS «старая». Сохраняете.

Простая аутентификация на PHP

Многие новички до сих пор попадают в тупик при написании простейшей аутентификации в PHP. На Тостере с завидной регулярностью попадаются вопросы о том, как сравнить сохраненный пароль с паролем полученным из формы логина. Здесь будет краткая статья-туториал на эту тему.

Disclaimer: статья рассчитана на совершенных новичков. Умудрённые опытом разработчики ничего нового здесь не найдут, но могут указать на возможные недочёты =).

Для написания системы аутентификации будем использовать базу данных MySQL/MariaDB, PHP, PDO, функции для работы с паролями, для построения интерфейса возьмём bootstrap.

Для начала создадим базу. Пусть она называется php-auth-demo. В новой базе создадим таблицу пользователей users :

CREATE TABLE `users` ( `id` int unsigned NOT NULL AUTO_INCREMENT, `username` varchar(255) COLLATE utf8mb4_general_ci NOT NULL, `password` varchar(255) COLLATE utf8mb4_general_ci NOT NULL, PRIMARY KEY (`id`), UNIQUE KEY `username` (`username`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_general_ci;

Создадим конфиг с данными для подключения к базе.

Имейте ввиду, что в реальном проекте к конфигам не должно быть доступа из браузера, и они не должны быть включены в систему контроля версий, во избежание компрометации учетных данных.

 'php-auth-demo', 'db_host' => '127.0.0.1', 'db_user' => 'mysql', 'db_pass' => 'mysql', ];

И сделаем «загрузочный» файл, который будем подключать вначале всех остальных файлов.

В реальных проектах обычно используется автозагрузка необходимых файлов. Но этот момент выходит за рамки статьи, и в демо-примере мы обойдёмся простым подключением.

В «загрузочном» файле мы будем инициализировать сессию и объявим некоторые функции-помощники.

setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); > return $pdo; >

Функция pdo() даст нам доступ к объекту PDO в любом месте нашего кода.

Далее нам нужна форма регистрации. Разместим её прямо в файле index.php .

 
 Username Password Register 

Здесь всё просто: два поля, кнопка и форма, отправляющая запрос на файл do_register.php методом POST. Процесс регистрации пользователя опишем в файле do_register.php .

prepare("SELECT * FROM `users` WHERE `username` = :username"); $stmt->execute(['username' => $_POST['username']]); if ($stmt->rowCount() > 0) < flash('Это имя пользователя уже занято.'); header('Location: /'); // Возврат на форму регистрации die; // Остановка выполнения скрипта >// Добавим пользователя в базу $stmt = pdo()->prepare("INSERT INTO `users` (`username`, `password`) VALUES (:username, :password)"); $stmt->execute([ 'username' => $_POST['username'], 'password' => password_hash($_POST['password'], PASSWORD_DEFAULT), ]); header('Location: login.php');

В самом начале подключим наш «загрузчик».

Потом проверим, не занято ли имя пользователя. Для этого сделаем выборку из таблицы указав в условии полученное из формы имя пользователя. Обратите внимание, для запросов здесь и далее мы будем использовать подготовленные запросы, что обезопасит нас от SQL-инъекций. Для этого в тексте SQL-запроса мы указываем специальные плейсхолдеры, а при выполнении ассоциируем с ними ненадёжные данные (ненадёжными данными следует считать всё, что приходит из вне – $_GET, $_POST, $_REQUEST, $_COOKIE). После выполнения запроса мы просто проверим количество возвращённых строк. Если их больше нуля, то имя пользователя уже занято. В этом случае мы выведем сообщение и вернём пользователя на форму регистрации.

Я написал «больше нуля», но по факту, из-за того, что поле username в таблице уникальное, rowCount() может нам вернуть лишь два возможных значения: 0 и 1 .

В приведённом выше коде мы использовали функцию flash() . Данная функция предназначена для «одноразовых» сообщений. Если вызвать её со строковым параметром, то она сохранит эту строку в сессии, а если вызвать без параметров, то выведет из сессии сохранённое сообщение и затем удалит его в сессии. Добавим эту функцию в файл boot.php .

function flash(?string $message = null) < if ($message) < $_SESSION['flash'] = $message; >else < if (!empty($_SESSION['flash'])) < ?>  unset($_SESSION['flash']); > >

А также вызовем её нa форме регистрации, для вывода возможных сообщений.

Registration

На данном этапе простейший функционал регистрации нового пользователя готов.

Если мы посмотрим код регистрации выше, то увидим, что в случае успешной регистрации, мы перенаправляем пользователя на страницу логина. Самое время ее написать.

Login
  
 
Username 
Password 
Login Register 
 

В виду простоты примера, она практически повторяет форму регистрации. Интереснее будет посмотреть на сам процесс логина в файле do_login.php .

prepare("SELECT * FROM `users` WHERE `username` = :username"); $stmt->execute(['username' => $_POST['username']]); if (!$stmt->rowCount()) < flash('Пользователь с такими данными не зарегистрирован'); header('Location: login.php'); die; >$user = $stmt->fetch(PDO::FETCH_ASSOC); // проверяем пароль if (password_verify($_POST['password'], $user['password'])) < // Проверяем, не нужно ли использовать более новый алгоритм // или другую алгоритмическую стоимость // Например, если вы поменяете опции хеширования if (password_needs_rehash($user['password'], PASSWORD_DEFAULT)) < $newHash = password_hash($_POST['password'], PASSWORD_DEFAULT); $stmt = pdo()->prepare('UPDATE `users` SET `password` = :password WHERE `username` = :username'); $stmt->execute([ 'username' => $_POST['username'], 'password' => $newHash, ]); > $_SESSION['user_id'] = $user['id']; header('Location: /'); die; > flash('Пароль неверен'); header('Location: login.php');

Здесь есть важный момент. Мы не запрашиваем пользователя из таблицы по паре username/password, а используем только username. Дело в том, что даже если вы захешируете пришедший из формы логина пароль и попробуете сравнить новый хеш с сохранённым в базе, вы ничего не получите. Password_hash() использует автоматически генерируемую соль для паролей и хеши будут всегда получаться разные. Вот результат функции password_hash , вызванной несколько раз для пароля «123»:

$2y$10$loqucup11.3DL1fgDWanoettFpFJuFFd0fY6BZyiP698ZqvA4tmuy $2y$10$.LF3OzmQRtJvuZZWeWF.2u80x3ls6OEAU5J9gLHDtcYrFzJkRRPvq $2y$10$iGj/nOCavShd2vbMZTC4GOMYCqDj2YSc8qWoeqjVbD1xaKU2CgAfi

Именно поэтому необходимо использовать функцию password_verify для проверки пароля. Кроме того, данная функция использует специальный алгоритм проверки и является безопасной для атак по времени.

Также хорошо будет проверить пароль на необходимость обновления хеша, в случае, если в проекте вы измените алгоритм хеширования или его опции.

В случае успешного логина мы сохраним идентификатор пользователя в сессии, и отправим его обратно на главную страницу.

Для проверки того факта, что пользователь залогинен, нужно будет проверить наличие данного идентификатора в сессии. Мы для удобства напишем функцию-помощник и разместим ее в том же файле boot.php .

function check_auth(): bool

Теперь можем добавить проверки и изменить вывод на главной странице, если пользователь аутентифицирован.

prepare("SELECT * FROM `users` WHERE `id` = :id"); $stmt->execute(['id' => $_SESSION['user_id']]); $user = $stmt->fetch(PDO::FETCH_ASSOC); > ?> 
Welcome back, !
 
Logout 
 else < ?>
Registration
  
 ?>

А также закрыть доступ к форме логина, если пользователь уже вошёл:

Осталось добавить возможность «выйти». Форму для выхода вы можете видеть в коде выше. Сама процедура выхода простейшая, и заключается в очистке сессии.

Заключение

• Используем PDO/MySQLi и подготовленные запросы для работы с базой данных.
• В базе данных обязательно храним только хеш пароля.
• Для хеширования пароля используем специальную функцию password_hash.
• Для проверки пароля не делаем сравнение хешей, а используем специальную функцию password_verify.

Полный код примера доступен на гитхабе: ссылка на Github.