phpでログイン認証のコード

Question

phpのログイン認証のコードをネットを見てつぎはぎで作りました。ここで問題なのがこのコードは果たして正解なのだろうかと言う疑問です。周りに添削してくれるような人はいません。何か間違いがあれば指摘していただければ幸いです。現在コードはエラーなく動いていますがたまたまかもしれません。javascriptからnameとpassを送信してphpをよんでいます。phpからmysqlを走査して該当者がいれば1をいなければ0をエラーがあればeをechoで送信しています。

<?php
try {
	$received_data = json_decode(file_get_contents("php://input"));
    $name = $received_data -> name;
    $pass = $received_data -> pass;	   
    if( v_aznum($name) || v_aznum($pass) ){
        echo 2;
        return;
    }

    $dsn  = 'データベース名'; 
    $user = 'ユーザ名';
    $pw   = 'パスワード';

    $sql = 'SELECT * FROM test WHERE name = :name';
    $dbh = new PDO($dsn, $user, $pw);
    $dbh->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
	$sth = $dbh->prepare($sql);    
	$sth->bindParam( ':name', $name, PDO::PARAM_STR);
	$sth->execute();
    
    $result = $sth->fetch(PDO::FETCH_ASSOC);
    if(password_verify($pass, $result['pass'])){
        echo 1;
    }else{
        echo 0;
    }
}catch(PDOException $e){
    echo "e";
}

function v_aznum($data) {
    if(!isset($data))return true;
    if (preg_match("/^[a-zA-Z0-9]+$/",$data)) {
        return false;
    }else{
        return true;
    }
}

Comments

[m.ts10806]

何が正解かは要件に基づいて設計されたとおりの実装になってるかどうかであって、
コードだけ見て他人がとやかく言えるもんではないです。
まずは「自分が決めた仕様通りに動いてるか」だけ確認してください。
※もちろん理解せずにツギハギだけで作りたいものが作れるようにはなりません

[退会済みユーザー]

「php://input」を相手にするとwebからのフォーム入力は使わないの？

[takahashi-one]

ybhQSpYbitSKさん、大変申し訳ないのですが質問の意味が分かりません。
「php://input」を相手にするとはどういうことでしょうか？
nameもpassもフォームの入力です。

[退会済みユーザー]

あぁ、フォーム送信じゃなく、jsonデータがPOSTされてるのを、直接 php://input から受け取るわけね、今わかった。フォームで入力させたものを、JSで加工してjsonとしてPOSTする前提のコードになってるよと。もしもwebフォーム送信を使うなら、ふつうに $_POST を使うなり filter_input() 使うなりするだろうね。

Answer 1

すみません、回答の要件がまちがっていたので一旦保留します
一旦DBはおいておきましょう
name=xxx、pass=yyyだったときuser=zzzが有効になるという流れで

<?PHP
session_start();
$user=$_SESSION["user"]??null;
$n="xxx";
$p="yyy";
$name=filter_input(INPUT_POST,"name");
$pass=filter_input(INPUT_POST,"pass");
if($name===$n and $pass===$p){
  $user="zzz";
  $_SESSION["user"]=$user;
}
if($user){
  print $user;
}else
print <<<eof
<form method="post">
name:<input name="name"><br>
pass:<input name="pass" type="password"><br>
<input type="submit" value="login"><br>
</form>
eof;

あとはログインが必要なページで$_SESSION["user"]の値をチェックすればよいです

Comments

[takahashi-one]

回答ありがとうございます。
json_decode(file_get_contents("php://input")
これは参考にしたサイトでjavascript側のコードが下記のようになっていて、これを受け取るのにjson_decodeを使用していました。これは間違っていますか?
axios.post("phpファイル", {
name: that.name,
pass: that.pass,
}).then(function (response) {～}

passも利用していないというのはセッションで利用していないということでしょうか？

[yambejp]

postまたはgetしたデータを利用してセッションに保持すればよいのは・・・という内容で調整します

[takahashi-one]

ログイン処理にセッションのコードが足りないということですね。アドバイスありがとうございます。
ちなみになんですがpostされたデータを下記で取得していますが
$name=filter_input(INPUT_POST,"name");
$pass=filter_input(INPUT_POST,"pass");
json_decode(file_get_contents("php://input")だと何かまずいのでしょうか?

[yambejp]

> 何かまずい

まずいというか、postデータは$_POSTを参照するかfilter_inputを使うのが一般的だというだけです

[takahashi-one]

確かにfilter_inputのほうがjson_decodeが入らないのでコードが短くて済みますね。
参考にしたサイトはなぜjson_decodeを使用していたのでしょうか。
長々ありがとうございました。