PHP Предупреждение: mysql_num_rows () ожидает, что параметр 1 будет ресурсом, boolean given

Я подозреваю, что вы имеете в виду SELECT * FROM user ... , а не SELECT * FROM $user ... (удалить $ ), что вызывает вашу ошибку. mysql_query() возвращает false если запрос не удался, что вы ожидаете, если $user не содержит имя вашей таблицы. Вот почему mysql_num_rows() жалуется на получение логического значения.

Кроме того, не используйте mysql_ *; он устарел .

И, как указывают другие, вы не должны хранить свои пароли в открытом виде. Вы должны хэш и солить их.

Отредактировано, чтобы объяснить, как работает соление и хеширование:

• Сохраните соль для каждого пользователя. Соль представляет собой случайную строку символов, предпочтительно длинную, по меньшей мере, примерно дюжину символов. Он должен отличаться для каждого пользователя.

• Когда вы создаете учетную запись пользователя или обновляете пароль, генерируйте хэш соленого пароля. Например, $hashed = hash('sha256', $raw_password.$salt); Еще лучше, сделайте много хэшей, например:

 $hashed = hash('sha256', $raw_password.$salt); for($i=0; $i<1000; $i++) { $hashed = hash('sha256', $hashed); } 

Это затрудняет извлечение паролей. На самом деле вам следует использовать bcrypt а не hash() , но это далеко не то, что принадлежит одному ответу здесь.

• Сохраните $hashed , а не сырой пароль, в базе данных и сохраните значение соли – вам это понадобится.
• Аутентифицировать пользователей с чем-то вроде SELECT * FROM users WHERE username = ? (используя MySQLi или PDO для выполнения подготовленных операторов). Не просто просто вставляйте имя пользователя в запрос и не используйте mysql_* .
• После того, как вы сделали этот SELECT, есть две возможности: никаких результатов или совпадений для имени пользователя. Если вы не получили никаких результатов, имя пользователя является фиктивным. Если вы получаете результат, вы должны попытаться сопоставить пароли с чем-то вроде этого:

 $hashed_from_input = hash('sha256', $raw_password_from_input.$salt_from_the_database); for($i=0; $i<1000; $i++) { $hashed_from_input = hash('sha256', $hashed_from_input ); } if($hashed_from_input === $hashed_from_database) { // login succeeded } else { // login failed } 

Это очень сложно сделать правильно. Лучше всего использовать существующую библиотеку аутентификации пользователей, пока вы не почувствуете себя комфортно со всеми концепциями аутентификации и авторизации, а также со всеми потенциальными ловушками.

Вероятно, ваш запрос терпит неудачу, mysql_query возвращает boolean FALSE когда возникает ошибка с запросом.

В качестве дополнительной заметки расширение mysql_* устарело .

Ваш запрос неверен, по крайней мере, при использовании неназначенной переменной вместо действительного имени таблицы. Затем он не работает, поэтому возвращается логическое значение. Измените это:

 $sql="SELECT * FROM $user WHERE username='$myusername' and password='$mypassword'"; 

К этому:

 $sql="SELECT * FROM user WHERE username='$myusername' and password='$mypassword'"; 

Тем не менее, вы храните пароли в открытом тексте, что явно неправильно. Прочтите эту статью полностью, чтобы понять, почему:

Безопасный хэш и соль для паролей PHP

Наконец, как указывают люди, вы используете mysql, который устарел. Я бы рекомендовал перейти на более современный возраст с PDO. С учетом обеих реализаций вы можете:

 $db = new PDO("mysql:host=$host;dbname=$db_name", $username, $password); $sql="SELECT * FROM users WHERE username = ?"; $STH = $db->prepare($sql); $STH->execute(array($myusername)); $User = $STH->fetch(); if (!empty($User) && password_verify($mypassword, $User['hash'])) echo "Logged in"; else echo "User/password incorrect"; 

Наконец, я рекомендую использовать проверенный и принятый User Manager вместо того, чтобы делать свой собственный.