Форум PHP

У меня следующая проблема по блоку:

1. Не используйте проверку на возращение строки (mysql_num_rows()), а применяйте следующий подход:

<?php     $user = $_POST['user'];     $pass = $_POST['pass'];     $sql = "SELECT user, pass FROM users WHERE user = '$user'";     list($m_user, $m_pass) = mysql_fetch_row( mysql_query($sql) );     if ( $pass != $m_pass or  // даст TRUE, если пароли не равны        $user != $m_user // данная проверка даст TRUE, если была sql инъекция     )     {           die("die");     }   ?>

Я так полагаю, переменные $m_user и $m_pass должны содержать имя пользователя и пароль из базы данных. В последствии их сравнивают с логином и паролем, переданным из предыдущей формы.
У меня же почему то $m_user и $m_pass пустые - не содержат ничего, и поэтому всегда выводится сообщение, что пароль указан неверно.

Вы уверены, что вводите данные существующего юзера?
Можете показать структуру таблицы и данные?

P.S. Приведенный вами код содержит SQL-Injection.
Чтобы исправить это, вам следует переменную $user обработать функцией mysql_escape_string()
То есть получится:

$sql = "SELECT user, pass FROM users WHERE user = '".mysql_escape_string($user)."'";

to cheops: я думаю стоит исправить код в статье :) а то статья про безопасное программирование, содержит SQL-Injection :)

Как показать структуру таблицы и данные?

попробуйте вывести переменные

echo $user . " " . $pass;

У вас phpMyAdmin есть? В нем есть ссылочка "экспорт"...

Она её не содержит. Она её предусматривает.
Метод защиты, конечно, ортопедический, но раз автору нравится...

Ну да, всмысле предусматривает :)

Вот, пожалуйста.

-- Структура таблицы `logins`
--

CREATE TABLE `logins` (
`id` tinyint(11) NOT NULL default '0',
`login` tinytext NOT NULL,
`pass` tinytext NOT NULL
) ENGINE=MyISAM DEFAULT CHARSET=cp1251;

--
-- Дамп данных таблицы `logins`
--

INSERT INTO `logins` VALUES (1, 'мой_логин', 'мой_пароль');

Очень советую сперва отработать латинские логины и пароли, а потом уже проверять русские.

Да здесь были латинские, это просто я вписал, как для примера!

Вопрос завис в воздухе. Весь день просидел, не могу сообразить, в чем ошибка!

Вопрос завис в воздухе. Весь день просидел, не могу сообразить, в чем ошибка!

Вопрос завис в воздухе. Весь день просидел, не могу сообразить, в чем ошибка!

Зачем повторять мою фразу?

тип столбцов поменяйте на varchar для начала

Может я чего-то не знаю, но мне не понятно, почему нельзя использовать проверку на возращение строки mysql_num_rows?

Потому, чо при определенном запросе (атака по твоему коду) mysql_num_rows вернет результат, хотя такого пароля и логина не будет в БД.