ログイン機能を実装したい

Question

■やりたいこと
ログイン機能を実装したい
■問題点
データベースのidとパスワードがあっているはずなのにログインできない。

<?php


try{
    $staff_code = $_POST['code'];
    $staff_pass = $_POST['pass'];

    $staff_code = htmlspecialchars($staff_code,ENT_QUOTES,'UTF-8');
    $staff_pass = htmlspecialchars($staff_pass,ENT_QUOTES,'UTF-8');

    $staff_pass = md5($staff_pass);

    $db = new PDO('mysql:host=localhost;dbname=shop','aaaa','1111');
            $db->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);
            $sql = 'SELECT name FROM mst_staff WHERE code=? AND password=?';
            $stmt = $db->prepare($sql);
            $stmt->execute(array($staff_code,$staff_pass));
            $db = null;
            $rec = $stmt->fetch(PDO::FETCH_ASSOC);
            if($rec==false){
                print'<p>スタッフコードかパスワードがまちがっています</p>';
                print '<a href="staff_login.php">戻る</a>';
                
            }else{
                header('Location:staff_top.php');
                exit();
            }
            $stmt = null;
}catch(PDOException $e){
    echo $e->getMessage();
    exit(); 
}

?>

Comments

[javahack]

回答ではないのでこちらに書きますが、htmlspecialchars()の使い方を間違えています。
画面表示時に使うもので、入力をエスケープするものではありません。
https://www.php.net/manual/ja/function.htmlspecialchars.php

ついでに言うと、データINSERT時にhtmlspecialchars()を使っていない場合、htmlspecialchars()でエスケープした文字列と比較すると一致しない可能性があります。

[cafe1111]

ご返信が遅れて申し訳ないです。
htmlspecialchars()の使い方は違うのは知ってたのですが、本にはこう記載してあったのでとりあえず真似ました。

INSERT時にhtmlspecialchars()は間違った使い方ですが使っています。
この間違った使い方ではエラーが起きてしまうのでしょうか？

[phper.k]

SQLを実行して、「SELECT length(password) from mst_staff WHERE code = 'コード'」で当該レコードのパスワードの文字列数を取得して、結果を追記してください。

[退会済みユーザー]

ログイン機能と一言で片付けられてしまうと、ユーザーの認証を何によって行い判定するのかを仕様として明示しないと、質問者と回答者側の認識のズレが生じたまま説明が重ねられてしまいますので、ログインという言葉を使わずに機能を説明できる程度に丁寧な仕様説明を質問文中にお願いします。
（メールとパスワードによるログインなのか、ユーザー指定の任意に文字列によるユーザIDとパスワードなのか、あるいはワンタイムパスワードをメール通知することによるユーザー認証が加わるのかなど、解釈によっては仕様はどんどん変わってしまいますし。）

[退会済みユーザー]

本を参考にしているようですが、まさかAmazonでPHPの本を検索すると1番目に出てくるという「気づけばプロ並みPHP」なんて本じゃないでしょうね、鵜呑みにしないでより確かな作法的に正しいやり方にアップデートする習慣をつけたほうが良いですよ。

[phper.k]

htmlspecialchars のこの使い方は、「気づけばプロ並みPHP」だろうな。。。

[cafe1111]

phper.k様
>>SELECT length(password) from mst_staff WHERE code = '14'
>>としたらlength(password)60とでてきました。

m6u様
>>データベースに割り当てられたidとパスワードでログインできる機能です。
>>まさかのその本で学習しています、、
>>progateで基礎を学んだのでアウトプットとして評価も悪くなかったのでか>>ったのですが確かに所々おかしなところがあるようですね、、、
>>本をやめて下記のサイトで学習しようかなと考えています。>>https://manablog.org/php7-review-bulletin-board/

Answer 1

SELECT length(password) from mst_staff WHERE code = '14'

としたらlength(password)60とでてきました。

60文字でデータを持っていると言うことは、password_hash でハッシュ値にされているはず。少なくともmd5 であるはずがありません。

Comments

[phper.k]

md5 で作られるハッシュ値は32文字になります。

[cafe1111]

なるほど！
解決できました！
ありがとうございます！

Answer 2

エラーは出てないですか？

dbname=shop'　shopの前のシングルクォートが抜けてます。
（勘違いをしてましたので、打ち消しました）

改めまして追記します。

では、このセットの中の最後に、　;charset=utf8　を入れるとどうなりますか？

Comments

[cafe1111]

'mysql:host=localhost;dbname=shop',
これでワンセットなのでエラーはでてないです。

[mari.rinn]

あっつ！ごめんなさい、壮大な勘違いしてました！誠に申し訳ないです！すみません。

[cafe1111]

いえいえ！
'mysql:host=localhost;dbname=shop;charset=utf8'
としましたが
スタッフコードかパスワードがまちがっています
となってしまいます。

[mari.rinn]

う〜む、一つ気になるのは、
$db = null;の位置ですかね。これを、
$stmt = null;のすぐ上に置くとどうなりますか？

あとは、検証方法として、まず、selectの検索条件を、スタッフコードだけにして、
select * で抽出しといて、スタッフコードが合ってるかどうかを調べて、合ってれば次にパスワードを調べる　コードが違うならエラーメッセを出す　てやり方にすると見えてくるものがあるかと思いますが。

[cafe1111]

password_hashが原因だったみたいで解決できました！
ありがとうございました！