Cześć wszystkim, ostatnio pewna osoba której bardzo dziękuje pokazała mi błąd w moim kodzie PHP. Zajrzałem do dokumentacji i wywnioskowałem następujące wnioski, iż do poprawnego prepare trzeba podstawić wartości za pomocą bind(). Czy Była by dobra duszyczka i sprawdziła czy wszystko dobrze zrobiłem oraz wysłałem przykładowy kod logowania oraz pokazywania jakiś informacji i czy również jest to zrobione w bezpieczny sposób? Czy też mam coś pozmieniać. Z góry dziękuje


Kod z błędem:

[PHP] pobierz, plaintext 
<?php
 
	require '../funkcje/database_connect/dbsoft.php';
 
	$sql = "INSERT INTO `database` (nazwisko, imie) 
	VALUES ('{$_POST['1']}', '{$_POST['2']}')";
 
	$statement = $connection->prepare($sql);
 
	if (!$statement) {
		echo "\nPDO::errorInfo():\n";
		print_r($dbh->errorInfo());
	}
 
	if ($statement->execute()) {
 
		echo '<p class="text-success">Pozytywnie dodano osobę</p>';
 
	}
 
?>
[PHP] pobierz, plaintext 

Kod poprawiony:

[PHP] pobierz, plaintext 
<?php
 
    require '../funkcje/database_connect/dbsoft.php';
 
    $sql = "INSERT INTO `database` (nazwisko, imie) 
    VALUES (:surname, :name)";
 
    $statement = $connection->prepare($sql);
    $statement->bindParam(':name', $_POST['2'], PDO::PARAM_STR);       
    $statement->bindParam(':surname', $_POST['1'], PDO::PARAM_STR);    
 
    if (!$statement) {
        echo "\nPDO::errorInfo():\n";
        print_r($dbh->errorInfo());
    }
 
    if ($statement->execute()) {
 
        echo '<p class="text-success">Pozytywnie dodano osobę</p>';
 
    }
 
    $statement->execute();
 
?>
[PHP] pobierz, plaintext 

Kod logowania:

[PHP] pobierz, plaintext 
<?php
 
session_start();
 
	require '../database_connect/dbsoft.php';
 
    $email= $_POST['email'];
    $password = $_POST['password'];
 
    $email = htmlentities($email, ENT_QUOTES, "UTF-8");
 
    $sekret = "XXXXXXXXXXXXXXXXXXXXXXXXX";
 
    $sprawdz = file_get_contents('https://www.google.com/recaptcha/api/siteverify?secret='.$sekret.'&response='.$_POST['g-recaptcha-response']);
 
    $odpowiedz = json_decode($sprawdz);
 
    if ($odpowiedz->success==false)
    {
        $_SESSION['e_bot']="Potwierdź, że nie jesteś botem!";
        header('Location: ../login.php');
        exit();
    }
        $sql = 'SELECT * FROM account WHERE email="'.$email.'"';
                        $statement = $connection->prepare($sql);
                        $statement->execute();
                        $oz = $statement->rowCount();
 
                if($oz>0){
 
                $row = $statement->fetchAll(PDO::FETCH_OBJ);
 
                foreach($row as $rows):
                $password_base = $rows->password;
                $email = $rows->email;
                $id_base = $rows->id;
                endforeach;
 
                if (password_verify($password, $password_base))
                {
 
                    $_SESSION['verify'] = true;
                    $_SESSION['id_session'] = $id_base;
 
                    function random(int $i)
                    {
                        return substr(str_shuffle(str_repeat($x='0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ', ceil($i/strlen($x)) )),1,$i);
                    }
 
                    $code = random(35);
                    $now = time() + 900;
                    $time = date("Y-m-d H:i:s");
 
                    $sql = "INSERT INTO verify_code (id_user, code, date, status_code) VALUES ('$id_base', '$code', '$now', 0)";
                    $connection->prepare($sql)->execute();	
 
                    $message="Kod do weryfikacji:\n\n$code\n\nWiadomosc zostala wygenerowana automatycznie: $time";
                    $sender="From: domena.pl";
                    @mail($email, "Kod weryfikacyjny", $message, $sender);
 
                    unset($_SESSION['error']);
 
                    $statement = null;
                    $connection = null;
 
                    header('Location: verify.php');
 
                }
                else 
                {
 
                    $_SESSION['error'] = '<span style="color:red">Nieprawidłowy login lub hasło!</span>';
                    $statement = null;
                    $connection = null;                    
                    header('Location: ../login.php');
 
                }
 
            } else {
 
                $_SESSION['error'] = '<span style="color:red">Nieprawidłowy login lub hasło!</span>';
                    $statement = null;
                    $connection = null;
                header('Location: ../login.php');
 
            }
 
    $statement = null;
    $connection = null;
 
?>
[PHP] pobierz, plaintext 

Wiadomo, do tego mam jeszcze sprawdzanie kodu do logowania 2-etapowego ale czy wszystko jest poprawnie zrobione i co najważniejsze BEZPIECZNIE?

Przykładowe połączenie do wypisania tabeli na stronie z bazy:

[PHP] pobierz, plaintext 
<?php
 
    // NOTA INFORMACYJNA
    // W zapytaniu do bazy (AND ZNACZY I) a (OR ZNACZY LUB)
 
    // System warunkowy
 
    // Przypisanie wartości inputa do zmiennej
    $id_if = $_POST['idif'];
 
    // Zmienne konfiguracyjne
    $baza = "database";                   // Nazwa tabeli bazy danych
 
    // Sprawdzanie wartości z formów (to omińmy bo zrobiłem zależność wczytywaną z innej strony- zostawmy 1 == 1 dla ułatwienia.
    if(1 == 1){
 
      // Konfiguracja 1
      $warunek_pierwszy = "imie";
        $wartosc_dla_warunku_pierwszego = "jan";
      $warunek_drugi = "nazwisko";
        $wartosc_dla_warunku_drugiego = "kowalski";
 
 
 
      // Tworzenie zapytania
      $sql = "SELECT * FROM `$baza` WHERE $warunek_pierwszy='$wartosc_dla_warunku_pierwszego' AND $warunek_drugi='$wartosc_dla_warunku_drugiego''";
      // Działanie skryptu
 
        // Połączenie z bazą 
        require '../funkcje/database_connect/dbsoft.php';
 
        // Sprawdzanie czy istnieje w bazie użytkownik pasujący do konfiguracji 1
        $qq = $connection->prepare($sql);
        $qq->execute();
        $baza = $qq->rowCount();
 
          if($baza == 0){
              echo '<font class="text-danger">Nie znaleziono.</font>';
          }else{
 
 
            // Wypisanie danych z bazy
            $data = $qq->fetchAll(PDO::FETCH_OBJ);
 
	          if (!$qq) {
	              	echo "\nPDO::errorInfo():\n";
	              	print_r($dbh->errorInfo());
          	}
 
 
?>
[PHP] pobierz, plaintext 

Z góry dziękuję za wszelką pomoc

Ale nie wszędzie masz prepared statements. Tam, gdzie użyłeś bindParam, ładnie podstawiłeś, chociaż przyczepię się trzech rzeczy:

1. Dlaczego nazywasz pola formularza "1" i "2"?
2. Nie wiem dlaczego ludzie nadużywają bindParam(). Interesuje Cię raczej bindValue(), bo to pierwsze wiąże wartość z referencją, a nie wartością na dany moment. Poczytaj o tym.
3. PDO::PARAM_STR to domyślna wartość, możesz to pominąć, bo wiadomo, że domyślnie jest string.

Dlaczego tu już nie ma bindowania? Czemu nie zastosujesz wyjątków zamiast ifów? Dalczego zezwalasz na wiele takich samych maili? W logowaniu iterujesz po wszystkich a i tak korzystasz z ostatniego. Czemu id_user jest w zapytaniu traktowany jako string? Naucz się że zawsze bindujesz parametry nawet jak sam je generujesz, będziesz bezpieczniejszy. Co jeśli mail nie dojdzie?