基本HTTP身份验证

Question

我在使HTTP授权正常工作时遇到一些困难。出于某种原因，我所得到的是弹出框，询问用户名和密码。这是我正在使用的代码。有人能告诉我我要去哪里吗？

if ( !isset( $_SERVER['PHP_AUTH_USER'] ) || !isset( $_SERVER['PHP_AUTH_PW'] )) 
{ 
    authorizeUser(); 
    //if no result, there is no user 
} 
else 
{ 
    $user = htmlentities(trim($_SERVER['PHP_AUTH_USER'])); 
    $pass = htmlentities(trim($_SERVER['PHP_AUTH_PW'])); 
    $pass = md5($_SERVER['PHP_AUTH_PW']); 

    //connect to MySQL data here// 


    $sql = "SELECT user_name,pwd FROM tableName WHERE user_name='$user' AND pwd='$pass'"; 
    $result = mysql_query($sql); 
    if(mysql_num_rows($result) == 0) 
    { 
     authorizeUser(); 
    } 
    else 
    { 
     header("Location: somepage"); 
    } 
} 

function authorizeUser() 
{ 
    header('WWW-Authenticate: Basic realm="Restricted Area"'); 
    header('HTTP/1.0 401 Unauthorized'); 
      echo "text if cancel button used"; 
}//end authorizedUser 

Answer 1

我要跳过SQL注入演讲了，但请不要在查询之前的密码或用户用户htmlentities()。它用于将字符串显示回浏览器或传递给url，而不是将转义的数据与SQL结果进行比较或插入到数据库中。如果用户名或密码可能有一个特殊的html字符编码，那么在使用之前，您需要使用html_entity_decode()进行解码。

返回注射保护...为了防止注射，而不通过mysqli或pdo移动到预处理语句，请使用mysql_real_escape_string()代替htmlentities();

$user = mysql_real_escape_string(html_entity_decode (trim($_SERVER['PHP_AUTH_USER']))); 
$pass = mysql_real_escape_string(html_entity_decode (trim($_SERVER['PHP_AUTH_PW']))); 
$pass = md5($pass); 

Answer 2

我认为这可能是一个问题，因为你只需设置的$值传递的两倍，

$pass = htmlentities(trim($_SERVER['PHP_AUTH_PW'])); 
$pass = md5($_SERVER['PHP_AUTH_PW']); 

您是不是要做到这一点呢？

$pass = htmlentities(trim($_SERVER['PHP_AUTH_PW'])); 
$pass = md5($pass);