4 replies to this topic

[Richi]

php

<?php
			include 'serv.php';
			if(isset($_POST['login'])){
				$usuario = $_POST['user'];
				$pw = $_POST['pass'];
						$log = mysql_query("SELECT * FROM usuarios WHERE user='$usuario' AND pass='$pw'");
				if (mysql_num_rows($log)>0) {
 
					$row = mysql_fetch_array($log);
 
					$_SESSION["user"] = $row['user'];
					$_SESSION["rol"]=$row['rol'];
 
					if ($_SESSION["rol"]==2){
 
				  	echo 'Iniciando sesión para '.$_SESSION['user'].' <p>';
					echo '<script> window.location="index1.php"; </script>';
				}elseif ($_SESSION["rol"]==1) {
				echo 'Iniciando sesión para '.$_SESSION['user'].' <p>';
					echo '<script> window.location="index2.php"; </script>';
				}
			}
				else{
					echo '<script> alert("Usuario o contraseña incorrectos.");</script>';
					echo '<script> window.location="index.php"; </script>';
				}
			}
		?>

el detalle es que cuando lo hago me lanza un Warning: mysql_num_rows() expects aparameter 1 to be resource, boolean given in...

 

Lo que no entiendo bien es que utilizo el mismo para otros proyectos y funciona correctamente.

[Delphius]

Mi experiencia con PHP no es mucha, pero por lo pronto, lo que veo y que podría estar afectando es que estás armando mal el string de la consulta. Debería ser algo así:

php

$log = mysql_query("SELECT * FROM usuarios WHERE user='". $usuario ."' AND pass='". $pw ."'");

Por cierto, yo evaluaría que fuera un único usuario. Así como tienes la evaluación si el conjunto de datos regresa 1+ también pasa la prueba.

Es cierto que es poco probable que pueda devolverse más de un usuario, pero es mejor prevenir que lamentar.

Y además, sugiero que el contenido que viene desde el $_POST haya sido previamente escapeado para prevenir injección SQL. Aquí hay algo más de info.

 

Saludos,

[Richi]

ya esta, el error era interno jaja

[Richi]

Mi experiencia con PHP no es mucha, pero por lo pronto, lo que veo y que podría estar afectando es que estás armando mal el string de la consulta. Debería ser algo así:

php

$log = mysql_query("SELECT * FROM usuarios WHERE user='". $usuario ."' AND pass='". $pw ."'");

Por cierto, yo evaluaría que fuera un único usuario. Así como tienes la evaluación si el conjunto de datos regresa 1+ también pasa la prueba.

Es cierto que es poco probable que pueda devolverse más de un usuario, pero es mejor prevenir que lamentar.

Y además, sugiero que el contenido que viene desde el $_POST haya sido previamente escapeado para prevenir injección SQL. Aquí hay algo más de info.

 

Saludos,

uff buenisimo voy a revisarlo para aplicarlo muchas gracias

[Delphius]

ya esta, el error era interno jaja

 

Sería de ayuda para otros usuarios con la misma o similar duda que nos puedas comentar como es que encontraste el problema y diste con la solución.

 

uff buenisimo voy a revisarlo para aplicarlo muchas gracias

 

No hay de qué. Lo de Injección de código es una práctica que hay que considerar y no muchos las tenemos en cuenta.

Por cierto, también sería bueno que vayas empezando la transición a usar mysqli o bien PDO_MySQL ya que a partir de PHP 5.5 la API myql_* está considerada obsoleta y marcada como deprecated. Más aún, en realidad es considerada insegura. Si el sitio lo alojas en un hosting con servers con PHP 5+ y (por sobre todo) si estás usando MySQL 4.1.3+ (mysql sólo funciona para 4.1.3- y para las posteriores no cuentas con algunas funcionalides nuevas) con más razón deberías pensar en emplear estas nuevas APIs.

No es un cambio muy brusco (al menos para mysqli), sólo es cuestión de adaptarse.

 

Para practicar e ir aprendiendo puedes seguir haciendo las cosas a la "vieja escuela" tal como lo vienes haciendo. Pero para un proyecto en grande, serio, y por sobre todo seguridad, lo mejor es adoptar lo nuevo y recomendado. Hay quienes consideran que es mejor PDO que mysqli... Al menos así lo dejan entrever algunos comentarios de algunos especialistas a los que suelo leer en las redes. Esto no te lo sabría asegurar, al igual que tu también hago uso de la api originaria mysql_* ya que en mi trabajo me encargo de mantener un sistema hecho con esta, pero para proyectos nuevos están usando mysqli.

 

Saludos,