php login-system med bcrypt kryptering

Jeg ville ikke gemme salt i databasen, så kan man jo lige så godt unlade den.

jeg ville nok noget ala her istedet:

 <?php
      require("mysql.open.php");
  
      $username = $_POST["user"];
      $password = $_POST["pass"];
      
      $username = stripslashes($username);
      $password = stripslashes($password);
      
      $username = mysql_real_escape_string($username);
      $password = mysql_real_escape_string($password);
  
      function generateSalt($string) {
          return "U6x#f9!_".(strlen($string).$string[0])."/5d".$string[strlen($string)-1]."00Jf&?".(strlen($string)*4)."?dvjt";
      }
      
      $salt = generateSalt($username."$2a$12$".$password);
      $hash = sha1($password . $salt);
      
      mysql_query("INSERT INTO structure_admin (username, password) VALUES ('$username', '$hash')") or die(mysql_error());
      
      require("mysql.close.php");
      
      header("Location: index.php");
  ?>

login:

 $username = "hello";
 $password = "world";
 
  function generateSalt($string) {
          return "U6x#f9!_".(strlen($string).$string[0])."/5d".$string[strlen($string)-1]."00Jf&?".(strlen($string)*4)."?dvjt";
      }
 
 $salt = generateSalt($username."$2a$12$".$password);
 $hash = sha1($password . $salt);
 
 $db = mysql_query("SELECT id FROM users WHERE username='$username' && password='$hash' LIMIT 1");
 if(mysql_num_rows($db) == 1){
 //login okay
 }

note har valgt at bruge sha1 - så du kan ikke restore password hvis brugeren glemmer det. så må de få en mail og lave en ny kode.

He j Jakob,

Det første du skal gøre er at gemme brugerens $salt i databasen også.

 mysql_query("INSERT INTO structure_admin (username, password, salt) VALUES ('$username', '$hash', '$salt')") or die(mysql_error());

Derefter er når brugeren logger ind gør du følgende:

 $user_sql = mysql_query("select * from structure_admin where username = '$username' limit 1");
 $user = mysql_fetch_row($user_sql);
 
 if(crypt($_POST['password'] . "$2a$12$" . $user['salt']) == $user['password']) echo "Correct";
 else echo "Wrong";

Det er skrivet frihånd så har ikke tjekket efter for syntax fejl osv.