определить, какая часть (ы) ГДЕ Заявление Failed

Question

Допустим, у меня есть SQL заявление, как это, который проверяет логин пользователя:

SELECT * FROM users 
WHERE username='test@example.com', password='abc123', expire_date>=NOW(); 

Есть ли способ в SQL, чтобы определить, в частности, которые WHERE условия не без нужно отдельно отделить каждое условие до своего собственного запроса и теста?

В этом конкретном примере это позволит разработчику точно указать пользователям причину, по которой их попытка входа в систему не удалась.

Для моих целей я использую PHP/MySQL.

Answer 1

Вот что я придумал:

SELECT 
    IF(mem_username='test@example.com','true','Error: Bad Username') AS mem_username, 
    IF(mem_password ='abc123','true','Error: Bad Password') AS mem_password' 
FROM MEMBERS 
WHERE mem_username='test@example.com' AND mem_password='abc123' 

Таким образом, я могу обнаружить в коде для сообщений об ошибках, а затем отображать их по мере необходимости.

ПРИМЕЧАНИЕ:. Все, ссылаясь на соображения безопасности с примером кода, благодарим вас за беспокойство. Однако это не настоящий производственный код, это просто простой пример для демонстрации вопроса, который у меня был. Совершенно очевидно, что вы не должны хранить пароли в ясном тексте и что вы не должны указывать пользователям о том, почему логин завершается с ошибкой.

Answer 2

Ну, одна вещь, которую вы могли бы сделать, это изменить ваш запрос, чтобы он соответствовал только имени пользователя. Затем в коде вы проверяете пароль и дату истечения срока действия, возвращая соответствующие ошибки.

Кроме того, я надеюсь, что ваш пример запроса является упрощением; Конечно, вы должны засовывать/шифровать/хешировать ваши пароли, и вы должны включить что-то, что ограничивает количество неудачных попыток в течение определенного периода времени и т. Д.

Что касается вашего фактического вопроса (в отличие от результатов, ищут), нет способа получить эту информацию из предложения where. Ближайший вы могли бы сделать что-то вроде:

SELECT *, 
    CASE WHEN Password = 'asdf' THEN 1 ELSE 0 END AS IsPasswordMatch, 
    CASE WHEN Expiration >= NOW() THEN 1 ELSE 0 END AS IsActiveAccount 
FROM Users 
WHERE Username = 'user' 

Answer 3

Нет, где-пункт применяется в качестве блока, а также различные методы используются так, что не все строки должны быть отсканированы. Кроме того, как бы вы узнали, какая строка была той, которая была желательной?

Кроме того, вы, вероятно, не хотите слишком подробно рассказывать пользователю о том, почему попытка входа в систему не удалась. Слишком много слов позволяет использовать такие эксплойты, как учетные записи и парольные атаки.

редактировать Если вы действительно хотите, чтобы отобразить это своему пользователю, а затем разделить логику на различные части:

1. Validate идентичности
   Действие: Fetch соответствующего пользователя строку из базы данных
   Результат:
   • Если такой строки не существует => Неверный счет
   • Если строка возвращаются, перейдите к шагу 2.
2. Validate удостоверение
   Действия: Проверьте хранимые верительный (пароль, хэш пароля или зашифрованный пароль) с помощью прилагаемого пароля, обработанного таким же образом, учетные данные сохраняются.
   Результат:
   • Нет матч => Неверный пароль/учетных
   • попытка Match => Успешный Войти
3. Логин пользователя
   Действие: Добавление данных сессии и т.д.

Answer 4

Вы, наверное, просто нужно отделить части от где п с «И»

SELECT * FROM users 
WHERE username='test@example.com' 
    And password='abc123' 
    And expire_date>=NOW(); 

Answer 5

В MySQL вы можете поместить логические выражения в списке выбора. Булевские выражения оценивают целое число 1, когда true, или целое число 0, когда false.

SELECT password = 'abc123' AS is_authenticated, 
     expire_date >= NOW() AS is_not_expired 
FROM users 
WHERE username='test@example.com'; 

Примечание: Если вам нужно написать запрос, который работает на других марок РСУБД, имейте в виду, это использование логических выражений нестандартно. Используйте синтаксис CASE, который опубликовали другие люди.

PS: Это касание вашего вопроса, но я призываю вас не хранить пароли в открытом виде. Сохраните хеш-дайджест соленого пароля. См How does password salt help against a rainbow table attack?