使用散列检查php密码不起作用

Question

我在php中编写了一个登录页面和一个检查页面。在我的本地机器上，它可以工作，但是在服务器上不能工作(如果重要的话，我在Windows上，服务器在Linux上)。

下面是检查页面中的代码：

$user = $_POST['userName'];
$pass = $_POST['pass'];

$saltSQL = 'SELECT salt FROM agents WHERE name="' . $user . '"';
$saltResult = mysql_fetch_array(mysql_query($saltSQL));
$salt = $saltResult['salt'];

$passToCheck = hash('sha512', $salt + $pass);

$rowAgent = mysql_fetch_array(mysql_query('SELECT * FROM agents WHERE name ="' . strtolower($user) . '"'));

if ($rowAgent['password'] != $passToCheck) {
    header("location:mainLogin.php");
    exit;
}

header("location:selectamount_new.php");

奇怪的是，当我用字母输入密码时，系统会输入我的密码(不管是什么)，当我输入数字时，系统将正确检查密码，不让我输入密码(将把我重定向到mainLogin.php，而不是selectamount_new.php)。

同样，在我的本地机器上，它工作得很好，问题是当我用Git将代码推到Linux机器(AWS)时。

Answer 1

问题是在$salt + $pass。这不是串连，是+操作符，就像在数学中一样。因此，string + string = nothing，这意味着每个密码将匹配。number + string = number，这就是为什么用数字来工作的原因。您应该在这里使用.操作符，这意味着连接。

无论如何，如果您不对SQL注入进行验证，任何人都可以登录您的站点，而不管这个补丁是什么。