Προσθήκη αλατιού στην εξουσιοδότηση

Τώρα πρέπει να αλλάξουμε την εξουσιοδότηση. Εδώ οι αλλαγές θα είναι πιο σημαντικές.

Δεν είναι πλέον δυνατόν να ελεγχθεί η ορθότητα του ζευγαριού όνομα σύνδεσης-κωδικού αμέσως, με ένα αίτημα. Γιατί: για να ελεγχθεί ο κωδικός πρόσβασης, πρέπει να ληφθεί το αλατισμένο hash του, και το αλάτι αποθηκεύεται στη βάση δεδομένων και είναι μοναδικό για κάθε όνομα σύνδεσης.

Θα πρέπει πρώτα να ληφθεί η εγγραφή μόνο από το όνομα σύνδεσης, να διαβαστεί το αλάτι, να αλατιστεί ο κωδικός που εισήχθη και να συγκριθεί με τον αλατισμένο κωδικό από τη βάση και μόνο, εάν ταιριάζουν, - να εξουσιοδοτηθεί ο χρήστης.

Λάβετε υπόψη ότι μπορεί να συμβεί ότι το όνομα σύνδεσης πληκτρολογήθηκε λανθασμένα, σε αυτήν την περίπτωση ο έλεγχος του κωδικού πρόσβασης δεν μπορεί να πραγματοποιηθεί, αλλά να εμφανιστεί αμέσως ότι η εξουσιοδότηση δεν είναι δυνατή - τα δεδομένα δεν είναι σωστά:

html<?php
  $login = $_POST['login'];
  
  $query = "SELECT * FROM users WHERE login='$login'";
  $res = mysqli_query($link, $query);
  $user = mysqli_fetch_assoc($res);
    
  if (!empty($user)) {
    // υπάρχει χρήστης με αυτό το όνομα σύνδεσης, τώρα πρέπει να ελεγχθεί ο κωδικός...
  } else {
    // δεν υπάρχει χρήστης με αυτό το όνομα σύνδεσης, εμφανίστε μήνυμα
  }
?>

Ας προσθέσουμε τον έλεγχο κωδικού πρόσβασης:

html<?php
  $login = $_POST['login'];
  
  $query = "SELECT * FROM users WHERE login='$login'";
  $res = mysqli_query($link, $query);
  $user = mysqli_fetch_assoc($res);
    
  if (!empty($user)) {
    $salt = $user['salt']; // αλάτι από τη ΒΔ
    $hash = $user['password']; // αλατισμένος κωδικός από τη ΒΔ
    
    $password = md5($salt . $_POST['password']); // αλατισμένος κωδικός από τον χρήστη
    
    // Συγκρίνουμε τα αλατισμένα hashes
    if ($password == $hash) {
      // όλα εντάξει, εξουσιοδοτούμε...
    } else {
      // ο κωδικός πρόσβασης δεν ταίριαξε, εμφανίστε μήνυμα
    }
  } else {
    // δεν υπάρχει χρήστης με αυτό το όνομα σύνδεσης, εμφανίστε μήνυμα
  }
?>