本文讲解如何使用 PHP 和 MySQL 安全实现分离式注册与登录功能，重点解决登录时密码验证失效的问题，通过 password_hash() 存储哈希、password_verify() 校验密码，并采用预处理语句防止 SQL 注入。
本文讲解如何使用 php 和 mysql 安全实现分离式注册与登录功能，重点解决登录时密码验证失效的问题，通过 password_hash() 存储哈希、password_verify() 校验密码，并采用预处理语句防止 sql 注入。
在 Web 开发中，将注册（Registration）与登录（Login）逻辑混写在同一段代码中极易引发安全漏洞和逻辑错误——正如你遇到的：用户可凭任意密码成功登录。根本原因在于，你的登录逻辑错误地复用了注册阶段生成的 $hashed_password 变量，而非从数据库中查询该用户的已存储哈希值进行比对。
正确的密码验证流程必须严格分离：
- ✅ 注册阶段：接收明文密码 → 用
password_hash()生成强哈希 → 存入数据库字段（如pwdUtil）； - ✅ 登录阶段：根据用户名/邮箱查出数据库中存储的哈希值 → 用
password_verify($input_password, $stored_hash)进行校验 → 仅当返回true才允许登录。
以下是重构后的安全、可维护的实现方案（基于 MySQLi 面向对象风格 + 预处理语句）：
✅ 正确的注册逻辑（独立处理）
if (isset($_POST['reg_user'])) {
$username = trim($_POST['name']);
$email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
$password = $_POST['password'];
// 防重检查：用户名或邮箱任一已存在即拒绝
$stmt = $db->prepare("SELECT COUNT(*) FROM utilisateur WHERE pseudoUtil = ? OR mailUtil = ?");
$stmt->bind_param("ss", $username, $email);
$stmt->execute();
$count = $stmt->get_result()->fetch_row()[0];
if ($count > 0) {
$_SESSION['message'] = "用户名或邮箱已被注册！";
} else {
$hashed_password = password_hash($password, PASSWORD_DEFAULT);
$stmt = $db->prepare("INSERT INTO utilisateur (pseudoUtil, mailUtil, pwdUtil) VALUES (?, ?, ?)");
$stmt->bind_param("sss", $username, $email, $hashed_password);
if ($stmt->execute()) {
$_SESSION['message'] = "注册成功！";
} else {
$_SESSION['message'] = "注册失败，请重试。";
}
}
}✅ 正确的登录逻辑（独立处理）
if (isset($_POST['login_user'])) {
$identifier = trim($_POST['name']); // 支持用户名或邮箱登录（需统一字段逻辑）
$password = $_POST['password'];
// 1. 先查用户是否存在，并获取其密码哈希（注意：WHERE 条件应明确区分字段）
// 建议：注册时要求邮箱唯一，登录时优先按邮箱匹配；或增加字段标识类型
$stmt = $db->prepare("SELECT pwdUtil, pseudoUtil FROM utilisateur WHERE mailUtil = ? OR pseudoUtil = ?");
$stmt->bind_param("ss", $identifier, $identifier);
$stmt->execute();
$result = $stmt->get_result();
if ($result->num_rows === 1) {
$user = $result->fetch_assoc();
// 2. 使用 password_verify() 安全比对（绝不拼接 SQL 或直接比较哈希字符串）
if (password_verify($password, $user['pwdUtil'])) {
$_SESSION['username'] = $user['pseudoUtil'];
$_SESSION['logged_in'] = true;
header('Location: index.php');
exit;
} else {
$_SESSION['message'] = "密码错误，请重试。";
}
} else {
$_SESSION['message'] = "用户不存在，请检查用户名或邮箱。";
}
}⚠️ 关键注意事项
-
禁止 SQL 拼接：原始代码中直接拼接
$username和$email到 SQL 字符串中，存在严重 SQL 注入风险。务必使用prepare()+bind_param()。 -
不要复用哈希变量：
$hashed_password是注册时临时生成的，登录时必须从数据库读取对应用户的哈希值。 -
字段设计建议：若支持“用户名或邮箱”登录，建议在数据库中确保
mailUtil唯一，并在登录时优先按邮箱查询（避免用户名含@导致歧义）；或新增login_type字段明确标识。 -
密码强度与体验：前端应添加密码强度提示，后端可配合
password_needs_rehash()实现哈希策略升级。 -
会话安全：登录成功后建议调用
session_regenerate_id(true)防止会话固定攻击。
遵循以上结构，你的注册与登录将真正解耦、安全且符合现代 PHP 最佳实践。记住：密码永远不存储明文，永远不直接比较哈希字符串，永远用 password_verify() 校验。
