登录功能不能正常工作

Question

您好，我遇到了一个奇怪的问题；我正在使用此代码来检查我的数据库的登录数据

include("includes/config.php");
include("includes/database.php");

$name = $_POST['username'];
$pass = $_POST['password'];

$sql = "SELECT * FROM info_user WHERE user_name = '$name' AND password = '$pass'";

$result = mysql_query($sql) or die(mysql_error());
$row = mysql_fetch_array($result) or die(mysql_error());
echo $row['user_name']. " - ". $row['password'];


if (mysql_num_rows($sql)) {
echo "success"; 
}

else
{
 echo "failed"; 
}

在这里，当我成功时，它显示成功，但任何空白输入或错误输入都没有显示失败消息，为什么？我怎么才能解决它呢？有没有更好的方法来检查登录？请帮帮忙

提前感谢

Answer 1

试试这个：

$num_rows = mysql_num_rows($result);

if ($num_rows > 0) { 
echo "success";
} else { 
echo "failed"; 
}

Answer 2

首先：

$row = mysql_fetch_array($result) or die(mysql_error());

如果传递了错误的用户名或密码，mysql_fetch_array()将返回FALSE，因为没有行可供获取。这将导致您的or die(mysql_error())部分被执行，这意味着您的脚本将死亡，并且不会输出任何内容，因为mysql没有失败-这也意味着mysql_error()不会返回任何内容。

其次，您在$sql字符串上使用mysql_num_rows()，而不是在$result变量上，该变量实际包含您应该使用的mysql资源。

在使用mysql_fetch_array()之前，您还应该检查mysql_num_rows()，这样您就不会试图提取一些不可用的数据。

最后，您的解决方案充满了安全缺陷。您正在将原始post数据传递到mysql数据库，这使您容易受到sql注入的攻击，并且您将密码以纯文本值的形式存储在数据库中(不是纯文本文件，而是纯文本值)。

你应该使用google sql注入和密码散列来提高你的安全性。