Php 登录系统-首次未设置会话cookie
通过遵循各种教程和在线阅读文章，我从头创建了一个登录/注册系统。系统工作正常，但有一个我不理解的错误。当用户第一次尝试登录时，会返回一个错误，即找不到帐户，但如果用户再次尝试登录，则会继续登录。我测试了它是否存储了会话cookie，结果发现它没有（至少第一次没有）。下次用户尝试登录时，它会正确存储cookie 这是我登录脚本的第一部分，它检查输入的验证码是否正确，然后设置会话cookies并将用户重定向到登录页面脚本，该脚本检查用户是否存在Php 登录系统-首次未设置会话cookie,php,mysql,Php,Mysql,通过遵循各种教程和在线阅读文章，我从头创建了一个登录/注册系统。系统工作正常，但有一个我不理解的错误。当用户第一次尝试登录时，会返回一个错误，即找不到帐户，但如果用户再次尝试登录，则会继续登录。我测试了它是否存储了会话cookie，结果发现它没有（至少第一次没有）。下次用户尝试登录时，它会正确存储cookie 这是我登录脚本的第一部分，它检查输入的验证码是否正确，然后设置会话cookies并将用户重定向到登录页面脚本，该脚本检查用户是否存在 <?php session_start();
<?php
session_start();
$mode = $_GET['mode'];
if($mode == 'login')
{
require_once('recaptchalib.php');
$privatekey = "---";
$resp = recaptcha_check_answer ($privatekey,
$_SERVER["REMOTE_ADDR"],
$_POST["recaptcha_challenge_field"],
$_POST["recaptcha_response_field"]);
if (!$resp->is_valid) {
// What happens when the CAPTCHA was entered incorrectly
header('Location: http://cpalander.net/login.php?option=captcha');
} else {
$user = $_POST['username2'];
$pass = $_POST['password3'];
$_SESSION['pass3'] = $pass;
$_SESSION['user3'] = $user;
header('Location: http://cpalander.net/login.php?option=checkuser');
}
die();
}
else if($mode == 'sendticket')
{
require_once('recaptchalib.php');
$privatekey = "---";
$resp = recaptcha_check_answer ($privatekey,
$_SERVER["REMOTE_ADDR"],
$_POST["recaptcha_challenge_field"],
$_POST["recaptcha_response_field"]);
if (!$resp->is_valid) {
// What happens when the CAPTCHA was entered incorrectly
header('Location: http://cpalander.net/dashboard.php?option=sendticket&error=captcha');
} else {
$subject = $_POST['subject'];
$message = $_POST['message'];
header('Location: http://cpalander.net/dashboard.php?option=sendticket&subject=' . urlencode($subject) . '&message=' . urlencode($message));
}
die();
}
else
{
require_once('recaptchalib.php');
$privatekey = "---";
$resp = recaptcha_check_answer ($privatekey,
$_SERVER["REMOTE_ADDR"],
$_POST["recaptcha_challenge_field"],
$_POST["recaptcha_response_field"]);
if (!$resp->is_valid) {
// What happens when the CAPTCHA was entered incorrectly
header('Location: http://cpalander.net/register.php?option=captcha');
} else {
$_SESSION['user2'] = $_POST['username'];
$_SESSION['pass2'] = $_POST['password'];
$_SESSION['mail2'] = $_POST['email'];
header('Location: http://cpalander.net/makeacc.php');
}
die();
}
?>
<?php session_start();
$data = $_GET["option"];
$user = $_SESSION['user3'];
$pass = $_SESSION['pass3'];
function generateRandomString($length = 10)
{
$characters = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ';
$randomString = '';
for ($i = 0; $i < $length; $i++) {
$randomString .= $characters[rand(0, strlen($characters) - 1)];
}
return $randomString;
}
?>
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>....</head>...
<body>...
...<?php
if ($data == 'checkuser')
{
$user = $_SESSION['user3'];
$link = new mysqli('127.0.0.1', '*******', '*******', '*******');
if ($link->connect_errno) {
die('Failed to connect to MySQL: (' . $mysqli->connect_errno . ') ' . $mysqli->connect_error);
}
$result = $link->query("SELECT * FROM users WHERE username='$user' AND active=1 AND banned=0");
$numrows = $result->num_rows;
if($numrows == 0)
{
$link->close();
session_destroy();
echo '<META HTTP-EQUIV="Refresh" Content="0; URL=login.php?option=notfound&user=' . $user . '">'; // This is the part that I used to check if the $user variable is set
exit;
}
$row = $result->fetch_assoc();
$sid = $row['salt'];
$pass_h = hash('sha256', $sid . $pass);
$result = $link->query("SELECT * FROM users WHERE username='$user' AND password='$pass_h' AND active=1 AND banned=0");
$numrows = $result->num_rows;
if($numrows == 0)
{
$link->close();
session_destroy();
echo '<META HTTP-EQUIV="Refresh" Content="0; URL=login.php?option=notfound">';
exit;
}
else
{
$link->close();
$_SESSION['user'] = $user;
echo '<META HTTP-EQUIV="Refresh" Content="0; URL=dashboard.php?option=home&user=' . $user . '">';
exit;
}
$link->close();
}...</body>
.......
...
…需要访问$会话
变量的所有文件中都应包含会话
启动session_id（）或session_start（）发送给他们（会话id（）或会话开始（）session\u destroy（）session\u unset（）session\u destroy（）session\u start（）session\u unset（）session\u destroy（）另外，您应该注意，除了问题本身之外，您还允许在代码上存在XSS漏洞，方法是将原始
$\u POST $user = $_POST['username2'];
$pass = $_POST['password3'];
$_SESSION['pass3'] = $pass;
$_SESSION['user3'] = $user;
if ($data == 'checkuser')
{
$user = $_SESSION['user3'];
$result = $link->query("SELECT * FROM users WHERE username='$user' AND active=1 AND banned=0");
$link->query("SELECT * FROM users WHERE username='bobby' OR ''='' AND active=1 AND banned=0");
$_SESSION['pass'] = hash('sha256', $_POST['password3']); // unsalted password
$_SESSION['user'] = hash('sha256', $_POST['username2']); // unsalted username
...
$link->query("SELECT * FROM users WHERE SHA2(username,256)='$user'
AND SHA2(CONCAT(salt,'$pass'),256)=password AND active=1 AND banned=0");
如果你保持用户名/密码的透明，那么你需要
mysqli_escape（）？nocache=1？nocache=1它看起来绝对像是服务器上的会话处理设置。您应该隐藏私钥，并更改：）如果第二部分的开头是另一个文件+1，那么您也必须在第二部分的开头有session_start（）mysql@Jan卡尼-是的，我正要这么做，但pocesar打败了我xD Sebas-是的，我在文件的开头，在任何HTML输出或任何pocesar之前就有了它-我做了一些研究，从一开始就使用它来添加我的2美分作为评论似乎是最好的选择，因为不是100%确定-但是你可能想在这里研究跨浏览器问题，我曾经遇到过这样一个问题，cookies和会话没有正确设置，因为我必须提示用户输入-现在网站在设置cookie之前必须请求交互似乎已经成为一个常见的地方-值得研究吗？我的会话从代码的顶部开始，我不想发布完整的代码，因为它包含
$link->query("SELECT * FROM users WHERE username='bobby' OR ''='' AND active=1 AND banned=0");
$_SESSION['pass'] = hash('sha256', $_POST['password3']); // unsalted password
$_SESSION['user'] = hash('sha256', $_POST['username2']); // unsalted username
...
$link->query("SELECT * FROM users WHERE SHA2(username,256)='$user'
AND SHA2(CONCAT(salt,'$pass'),256)=password AND active=1 AND banned=0");