Ошибка Fatal error: Call to a member function fetch_assoc(). Как исправить?

Question

[kvxz2114]

После загрузки сайта на хостинг www.zzz.com.ua выдает ошибку:

Fatal error: Call to a member function fetch_assoc() on boolean in /profiles/m/my/myf/myfamily/myfamilyz.zzz.com.ua/php-vendor/login.php on line 11

<?php
	$name =  filter_var(trim($_POST['name']));
	$password = filter_var(trim($_POST['password']));

	$password = md5($password);

	mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT);

	$dbconnect = new mysqli( 'хост', 'имя', 'пароль', 'название БД' );

	$result = $dbconnect->query("SELECT * FROM `Users` WHERE `name` = '$name' AND `password` = '$password'");

	$user = $result->fetch_assoc($result);

	if(count($user) == 0) {
		echo "User is not found:(";
		exit();
	}

	setcookie('user', $user['name'], time() + 3600, "/");
	setcookie('email', $user['email'], time() + 3600, "/");
	setcookie('members', $user['count_members'], time() + 3600, "/");

	$dbconnect->close();

	header('Location: ../php-blocks/home.php');

До загрузки на хостинг все работало.

Comments

[FanatPHP]

Uneasy Hearts Weigh the Most, чего FanatPHP?
Автор врёт как сивый мерин.
Если бы у него реально было написано mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); то такой ошибки бы не было.

Answer 1

[vdem]

$result у Вас имеет значение false. А вообще за код - двойка. Я Вам всю базу данных удалю просто из браузера :)

Comments

[kvxz2114]

Хотелось бы узнать каким образом?)

[vdem]

kvxz2114, В POST в поле password отправить что-то вроде

'; DROP TABLE `users`; SELECT '

[Талян]

vdem, Да уж) Только от вас узнал про существование такой функции в PHP. Почитал.

https://php.ru/manual/function.filter-var.html

Если не указан, то используется FILTER_DEFAULT, который равнозначен FILTER_UNSAFE_RAW. Это значит, что по умолчанию не применяется никакого фильтра.

А в чем тогда смысл вообще вызывать эту функцию? Или ТС просто не одупляет, что делает?

[Дмитрий]

vdem, c $dbconnect->query вряд ли получится, а вот с $dbconnect->multi_query получится.

Функции API mysqli_query() и mysqli_real_query() во время работы не устанавливают на сервере специальный флаг, необходимый для выполнения мультизапросов. Отдельная API-функция для мультизапросов позволяет снизить вероятность случайных SQL-инъекций. Злоумышленник может попытаться добавить в конец запроса выражения, вроде ; DROP DATABASE mysql или ; SELECT SLEEP(999). Если ему это удастся, но не будет использоваться функция mysqli_multi_query, сервер не выполнит второе внедрённое и опасное SQL-выражение.

[FanatPHP]

Талян, у автора весь код написан не приходя в сознание, а не одна эта строчка.

[vdem]

Талян, ТС надо вообще руки отрубить за вот это вот:

"SELECT * FROM `Users` WHERE `name` = '$name' AND `password` = '$password'"

И голову.

[vdem]

Талян,

А в чем тогда смысл вообще вызывать эту функцию? Или ТС просто не одупляет, что делает?

Ну, единственная польза от нее при таком использовании только та, что всякие Code Quality Analyzers не будут ругаться на прямой доступ к $_GET, $_POST etc.

[kvxz2114]

vdem, Что здесь не так, можете объяснить?

[vdem]

kvxz2114, Ну вот, Вы используете в вышеприведенном коде filter_var. Зачем-то Вы же ее вызываете. Что эта функция делает, в данном конкретном случае?

[vdem]

kvxz2114,

$name = filter_input(INPUT_POST, 'name', FILTER_SANITIZE_STRING);
$password = filter_input(INPUT_POST, 'password');
if (empty($name) || empty($password)) {
    echo 'Please enter user name and password';
    exit;
}

$name = trim($name);
$passwordHash = password_hash($password);

try {
    $pdo = new PDO(sprintf('mysql:host=%s;dbname=%s', 'хост', 'название БД'), 'имя', 'пароль');
    $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    $statement = $pdo->prepare('
        SELECT *
        FROM   `Users`
        WHERE  `name` = :name
               AND `password` = :password');
    $statement->execute([':name' => $name, ':password' => $passwordHash]);

    $user = $statement->fetch(PDO::FETCH_ASSOC);
    if (null === $user) {
        echo 'User is not found :(';
        exit;
    }
} catch (Exception $e) {
    echo 'Database error: ' . $e->getMessage();
    exit;
}

setcookie('user', $user['name'], time() + 3600, '/');
setcookie('email', $user['email'], time() + 3600, '/');
setcookie('members', $user['count_members'], time() + 3600, '/');

header('Location: ../php-blocks/home.php');

И все равно этот код не идеален.

[FanatPHP]

vdem, "не идеален" - это очень мягко сказано.
- FILTER_SANITIZE_STRING зачем портить логин перед проверкой?
- empty зачем проверять на существование переменную, которую ты объявил строчкой выше?
- $passwordHash = password_hash($password); сразу видно что пароли ты не хэшировал никогда, и как это работает не понимаешь вообще
- try { очередная бессмыслица, чтобы вывести ошибку. мысль о том, что пхп не настолько тупой язык, и сам умеет выводишь ошибки без таких костылей, конечно в голову не приходит
- echo 'Database error: ' . $e->getMessage(); офигенный код для продакшена. Пользователю сайта вот прямо очень интересно почитать, что там у тебя за ошибки БД
- setcookie('user', $user['name'], time() + 3600, '/'); ну и как обычно, адище с куками, когда любой имбецил поставит в куки емейл и авторизуется по любым пользователем.

[kvxz2114]

FanatPHP, Согласен, уже переписал на сессию

Answer 2

[Yupiter7575]

fetch assoc в PDO не принимает аргументов

Comments

[vdem]

Uneasy Hearts Weigh the Most, Ну ошибся человек. Зачем Вы в fetch_assoc пихаете $result?

[vdem]

Uneasy Hearts Weigh the Most, А это что?
$user = $result->fetch_assoc($result);

[vdem]

Uneasy Hearts Weigh the Most, В любом случае что-то с запросом. М.б. таблицы `Users` нету, или зависит от регистра (т.е. `users` или `USERS`).

[kvxz2114]

без аргумента точно такая же ошибка

[Yupiter7575]

Uneasy Hearts Weigh the Most, Ну да вы правы тут PDO нету. И все же сувать переменную fetch assoc не надо

[kvxz2114]

vdem, Да, вы правы. Допустил глупую ошибку (таблица называлась users, а не Users) :)

[FanatPHP]

Uneasy Hearts Weigh the Most, это новый клоун в местном зоопарке.
Бежит отвечать едва завидев вопрос, и даже не успев понять, на каком языке написан код. Ему не до таких тонкостей.

Но публике нравится, мужчина в гору идёт, скоро, глядишь, и в кураторы выбьется. Достойное пополнение.