Verifică parola unui utilizator

Question

Verifică parola unui utilizator

30 mar. 2011, 23:11:28

Vizualizări: 32.1K

Voturi: 6

Vreau să verific dacă utilizatorul are o anumită parolă, așa că am încercat cu wp_check_password, dar contul pentru care se face verificarea este deconectat și nu se mai poate autentifica până când nu există un apel al wp_check_password în cod.

Analizând codul, am descoperit că setează parola folosind noul hash, și mai mult, dacă folosesc wp_check_password( 'hello', md5('hello'), 1 );, nici măcar nu verifică ce este în baza de date și returnează true. Nu este asta un bug?

Aveți idei cum pot verifica parola utilizatorului?

Ashfame

3.72K

parolă

Toate răspunsurile la întrebare

Comentarii

Dar nu se potrivește în toate circumstanțele, ceea ce am presupus că era problema. În primul rând, funcția de hash pentru parolă este modulară, deci nu folosește neapărat md5 (de fapt, nu cred că o face în mod implicit - implicit este phpass).

goldenapples

30 mar. 2011 23:45:09

@goldenapples nu are sens să suprascrii wp_hash_password() și să lași wp_check_password(). Neconcordanța hash-ului pur și simplu nu va permite nimănui să treacă verificarea, nu-i așa? :)

Rarst

30 mar. 2011 23:49:49

Oh, ai dreptate. wp_check_password() va funcționa așa cum ai folosit-o în răspunsul tău. Mă refeream la întrebarea sa originală, verificând 'hello' împotriva md5 din 'hello', care va eșua decât dacă md5 este algoritmul folosit efectiv în wp_hash_password...

goldenapples

30 mar. 2011 23:55:00

@goldenapples funcția nativă wp_hash_password() suportă md5 pentru compatibilitate inversă, ea re-hashuiește astfel de parole la verificare. Acum că mă gândesc, aceasta este probabil problema din întrebarea originală...

Rarst

31 mar. 2011 00:03:01

Da, dacă cele două parole furnizate se potrivesc folosind md5, wp_check_password va reseta parola utilizatorului folosind funcția actuală de hash. Deci în întrebarea originală, deoarece cele două parole furnizate se potriveau, schimba parola utilizatorului în "hello"...

goldenapples

31 mar. 2011 00:05:28

Arată celelalte 5 comentarii

Puteți obține parola hash-uită din baza de date și să o comparați cu intrarea pe care doriți să o verificați folosind wp_hash_password().

Pentru a verifica dacă parola utilizatorului curent se potrivește cu "hello", încercați acest lucru:

if ( $current_user->user_pass == wp_hash_password( 'hello' ) )

goldenapples

9.26K

30 mar. 2011 23:18:51

Comentarii

if ( wp_hash_password( $xx_new_password ) != $xx_userinfo->user_pass ) funcționează diferit față de if ( !wp_check_password( $xx_new_password, $xx_userinfo->user_pass , $xx_id ) ) Ciudat! Mulțumesc pentru ajutor!

Ashfame

31 mar. 2011 00:10:57

Aceasta este incorect. wp_hash_password() aplică (în 2020) un salt aleatoriu parolei înainte de a o hash-ui, astfel încât nici două apeluri către aceasta nu returnează aceeași valoare.

O. Jones

23 oct. 2020 00:07:52

require_once ABSPATH . WPINC . '/class-phpass.php';
$wp_hasher = new PasswordHash(8, TRUE);

$password_hashed = '$P$BB3pP6fQAYa61ael0LNQlpB1NOyqNY0';
$plain_password = 'admin2';
if($wp_hasher->CheckPassword($plain_password, $password_hashed)) {
    print 'Parola se potrivește.';
}

Credit: https://stackoverflow.com/a/37181662

Saud Alfadhli

101

28 mai 2022 02:34:45

Rarst 100K · Accepted Answer · 2011-03-30T23:23:59Z

~~Exemplul tău funcționează corect. Verifici dacă parola hello se potrivește cu versiunea hashuită a lui hello - ceea ce firește că se întâmplă.~~

Nu m-am gândit suficient. Exemplul tău cauzează următoarea problemă:

Verifici dacă hello se potrivește cu md5-ul lui hello (în loc de hash-ul din profilul utilizatorului).
Se potrivește și atunci WP consideră că aceasta este corectă, dar o versiune veche de md5 - care trebuie actualizată.
Re-hashuiește hello și actualizează utilizatorul cu el, blocându-i accesul (deoarece parola lui devine acum hello în loc de orice era înainte).

Vezi funcția wp_authenticate_username_password() pentru un exemplu amplu, dar ideea de bază este:

$userdata = get_user_by('login', $username);
$result = wp_check_password($password, $userdata->user_pass, $userdata->ID);

Rarst

100K

30 mar. 2011 23:23:59