解决 PHP PDO 中 OR 和 AND 语句混合使用时的登录验证问题-php教程-PHP中文网

解决 PHP PDO 中 OR 和 AND 语句混合使用时的登录验证问题

花韻仙語

发布： 2025-10-03 12:15:01

原创

182人浏览过

解决 php pdo 中 or 和 and 语句混合使用时的登录验证问题

本文旨在解决在使用 PHP PDO 连接 MySQL 数据库时，由于 WHERE 子句中 OR 和 AND 语句的优先级问题，导致登录验证逻辑出现错误的问题。通过分析问题代码，指出错误原因，并提供修改后的代码示例，确保用户能够使用用户名或邮箱地址成功登录。此外，还强调了安全最佳实践，建议在验证失败时统一返回“无效凭据”信息，以避免泄露敏感信息。

问题分析

原代码中存在一个问题，即在 WHERE 子句中同时使用了 OR 和 AND 语句，且没有使用括号明确指定优先级。这会导致 MySQL 按照默认的优先级进行解析，可能导致与预期不同的结果。具体来说，原始的 SQL 语句如下：

SELECT * FROM db_cms_users WHERE username = ? OR email = ?  AND password = ?

登录后复制

由于 AND 的优先级高于 OR，上述语句会被解析为：

SELECT * FROM db_cms_users WHERE username = ? OR (email = ?  AND password = ?)

登录后复制

这意味着，如果用户名匹配，则无论密码是否匹配，都会返回结果。如果用户名不匹配，则只有当邮箱和密码都匹配时，才会返回结果。这显然不是预期的行为，预期行为是用户名或邮箱匹配，且密码匹配才能成功登录。

立即学习“PHP免费学习笔记（深入）”；

此外，在验证密码之后，再次使用包含密码的 WHERE 子句进行查询是多余的，因为密码已经通过 password_verify() 函数验证过了。

解决方案

为了解决上述问题，需要修改 SQL 语句，并移除不必要的第二次查询。

Stable Diffusion

目前最强的开源AI绘画工具

查看详情

修改 SQL 语句： 使用括号明确指定 OR 语句的优先级，确保用户名或邮箱匹配，并且密码匹配。但由于原始代码逻辑的冗余，更好的解决方案是直接移除第二次查询，只保留第一次查询的结果即可。
移除冗余查询： 在验证密码后，不需要再次执行 SQL 查询。直接使用第一次查询的结果，并将用户名和用户 ID 存储到 Session 中。

修改后的 loginUser() 函数如下：

protected function loginUser($userID, $password) {
  $sql = "SELECT username, id, password FROM db_cms_users WHERE username = ? OR email = ?";
  $stmt = $this->connect()->prepare($sql);

  if(!$stmt->execute([$userID, $userID])) {
    $stmt = null;
    header("location: index.php?error=failstmt");
    exit();
  }

  if($stmt->rowCount() == 0) {
    $stmt = null;
    header("location: login.php?error=loginerror");
    exit();
  }

  $user = $stmt->fetchAll();
  $checkPwd = password_verify($password, $user[0]['password']);

  if($checkPwd == false) {
    header("location: index.php?error=wrongpwd");
    exit();
  }
  elseif($checkPwd == true) {
    session_start();
    $_SESSION['username'] = $user[0]['username'];
    $_SESSION['uid'] = $user[0]['id'];
    return true;
  }
}

登录后复制

安全注意事项

在处理用户登录时，安全性至关重要。以下是一些建议：

密码哈希： 永远不要以明文形式存储密码。使用 password_hash() 函数对密码进行哈希处理，并使用 password_verify() 函数验证密码。
防止 SQL 注入： 使用预处理语句 (Prepared Statements) 来防止 SQL 注入攻击。
统一错误提示： 当用户登录失败时，不要透露具体原因（例如，用户名错误或密码错误）。统一返回“无效凭据”信息，以防止攻击者利用这些信息进行猜测。
Session 安全： 使用安全的 Session 管理机制，例如设置 session.cookie_httponly 和 session.cookie_secure 选项。