phpでログイン・ログアウト機能をつけたい

前提・実現したいこと

phpでログイン・ログアウト機能を
ここに質問の内容を詳しく書いてください。
現在phpでログイン・ログアウト機能をつけようとしています。その際このページを参考に作っています。しかし、同じようにしてもログインできるようにはなりません。
ユーザー名とパスワードを入力し、ログインボタンを押すと同じページのままで入力した値が消えるという状況です。

該当のソースコード

<?php
session_start();

$dsn = 'mysql:dbname=xxx;host=127.0.0.1;charset=utf8';
$user = 'xxx';
$password= 'xxx';

try{
  $dbh = new PDO( $dsn, $user, $password );
}catch( PDOException $error ){
  echo "接続失敗:".$error->getMessage();
  die();
}

$sql    ="select username, password from user";
$stmt   = $dbh->query( $sql );
 foreach($stmt as $row):
  $username=$row['username'];
  $password=$row['password'];
endforeach;?>

<?php $error_message = "";
if(isset($_POST["login"])) {
    if($_POST["username"] == $username && $_POST["password"] == $password){
        $_SESSION["username"] = $username;
        $login_success_url = "http://localhost/phptest/top.php";
        header("Location: {$login_success_url}");
        exit;
    }
$error_message = "※ID、もしくはパスワードが間違っています。<br>　もう一度入力して下さい。";
}?>

<!DOCTYPE html>
    <html>
      <head>
        <meta charset="utf-8">
        <title>test</title>
        <link rel="stylesheet" href="stylesheet.css">
      </head>
      <body>
        <header>
          <div class="container">
              <a href="http://localhost/test/top.php">
               <img src="./image/logo.png">
              </a>
            <div class="header-right">
              <?php if(isset($_SESSION["username"])):?>
              <a href="http://localhost/test/logout.php">ログアウト</a>
              <a href="http://localhost/test/post.php">新規投稿</a>
            <?php else:?>
              <a href="http://localhost/test/login.php">ログイン</a>
              <a href="http://localhost/test/post.php">新規投稿</a>
              <a href="http://localhost/test/signup.php">新規登録</a>
            <?php endif;
            ?>
            </div>
          </div>
        </header>
        <form action="login.php" method=post>
      　<h4>ユーザー名</h4>
        <input name="username">
        <h4>パスワード</h4>
        <input name="password">
        <input type="submit" value="ログイン">
      </form>

phpのバージョン　7.3.8

行動規範の内容に同意します

回答2件

ベストアンサー

$sql ="select username, password from user";

$stmt = $dbh->query( $sql );
foreach($stmt as $row):
$username=$row['username'];
$password=$row['password'];
endforeach;?>

これだと$username,$passwordにはuserテーブルの最後のレコードの情報しか保持していません。
パスワードを平文で保存しているならいっそのことselect時点で絞ってしまっては？

php
1$sql ="select
2 username, password
3 from user
4where username = ?
5 and password = ?";
6
7$sth = $dbh->prepare($sql);
8$sth->execute([$_POST["username"],$_POST["password"]]);
9
10//あとはrowCountとかで件数みて0件ならNG、1件ならlogin_success_urlとかで分岐

蛇足：
せめて下記はtype="text"ではなくtype="password"にしてあげてください。
<input name="password">

できればパスワードも平文ではなく暗文にしてもらいたいですね・・・
password_hash()とpassword_verify()を用いた暗号化と認証の方法について

投稿2019/08/30 05:14

編集2019/08/30 05:34

m.ts10806

総合スコア80850

退会済みユーザー

2019/08/31 07:04 編集

アドバイスのおかげで解決いたしました。ありがとうございます。お時間があればで大丈夫なのですが、m.ts10806さんが記述されたselect文の中のusername=?やpassword=?の”？”にはどのような意味があるのでしょうか？

m.ts10806

2019/09/01 01:18

https://www.php.net/manual/ja/pdo.prepare.php >名前 (:name) もしくは疑問符 (?) パラメータマーク https://www.php.net/manual/ja/pdostatement.execute.php あとは「SQLインジェクション」とかで調べてください。値をそのまま突っ込むとSQL内容を改ざんされて意図しないデータを引き出させてしまうので、エスケープをする必要がありますが、それをしてくれるのがパラメータマークからのバインド（プリペアドステートメントとかで調べてください）また、下記のような記事は読んでおきましょう。 https://qiita.com/mpyw/items/b00b72c5c95aac573b71

退会済みユーザー

2019/09/02 07:56

ありがとうございます。

行動規範の内容に同意します

 <input type="submit" value="ログイン">

をこのように変えてください

 <input type="submit" name="login" value="ログイン">

このようにしないと、ログインボタンが押されましたよ、という値の取得($_POST['login'])ができません。

あと、そのページの記述は相当古いです、。勉強程度ならいいですが、仕事などで使う場合は非常に危険です。余裕があれば調べてみた方がいいでしょう。

投稿2019/08/30 05:12

編集2019/08/30 05:15

FKM

総合スコア3633

m.ts10806

2019/08/30 06:38

>更新日：2017年4月9日 2017年ならもっと適した記述方法はあったのになぜあえてこの書き方をしたと突っ込みたくなりますね。

行動規範の内容に同意します

あなたの回答

tips

プレビュー

行動規範の内容に同意します

質問の解決につながる回答をしましょう。サンプルコードなど、より具体的な説明があると質問者の理解の助けになります。また、読む側のことを考えた、分かりやすい文章を心がけましょう。

15分調べてもわからないことは
teratailで質問しよう！

ただいまの回答率
85.48%

質問をまとめることで
思考を整理して素早く解決

テンプレート機能で
簡単に質問をまとめる

質問する

質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう！