php - laravel 登录在 url 中显示密码和 id

Question

我在 laravel 中创建了一个登录名，实际上是 laravel 的新手，该网站已经在 laravel 中制作，我尝试添加登录名并在其中注册，welcome.blade.php 中的登录名如下所示:

<?php
$username = "";
$errors = array();
$db = mysqli_connect('localhost', 'root', 'root', 'test');

$user_check_query = "SELECT * FROM registers WHERE username='$username' LIMIT 1";
  $result = mysqli_query($db, $user_check_query);
  $user = mysqli_fetch_assoc($result);

  if ($user) { // if user exists
    if ($user['username'] === $username) {
      array_push($errors, "Username already exists");
    }}

?>

<form method="get" action="">
    
    
    <div style="width: 300px;">    
        <input type="text" name="username" class="form-control" placeholder="Username"  >
    </div>
    
        <br>
        <div style="width: 300px;"> 
        <input type="password" name="password" class="form-control" placeholder="Password" >
        </div>
    <br>
    
        <button type="submit" class="btn" name="login_user">Login</button>
   
    
  </form>
<?php if (isset($_GET['login_user'])) {
  $username = mysqli_real_escape_string($db, $_GET['username']);
  $password = mysqli_real_escape_string($db, $_GET['password']);

  if (empty($username)) {
    array_push($errors, "Username is required");
  }
  if (empty($password)) {
    array_push($errors, "Password is required");
  }

  if (count($errors) == 0) {
    
    $query = "SELECT * FROM registers WHERE username='$username' AND password='$password'";
    $results = mysqli_query($db, $query);
    if (mysqli_num_rows($results) == 1) {
      $_SESSION['username'] = $username;
      $_SESSION['success'] = "You are now logged in";
      header('location: index.php');
    }else {
        array_push($errors, "Wrong username/password combination");
    }
  }
}?>

每当我尝试登录时，它都不会登录，而是重新加载同一页面并在 url 中显示输入的密码和用户名，如下所示

http://demo.website/teia/members/?username=test&password=testing&login_user=

谁能告诉我我的代码有什么问题

Answer 1

您在表单中使用了错误的方法。 GET 方法总是生成带有输入数据的 URI，这在处理数据(例如用户个人信息)时确实是一个巨大的漏洞。 GET用于向指定资源请求数据，查询字符串在GET请求的URL中发送。

关于 GET 请求的一些其他注意事项:

• 可以缓存 GET 请求
• GET 请求保留在浏览器历史记录中
• 可以为 GET 请求添加书签
• 在处理敏感数据时切勿使用 GET 请求
• GET 请求有长度限制

要防止这种情况发生，请使用 POST 方法。 POST 用于向服务器发送数据。用POST发送给服务器的数据是保存在HTTP请求的请求体中，而不是保存在URI中，这样就安全多了。

关于 POST 请求的一些其他注意事项:

• POST 请求从不缓存
• POST 请求不会保留在浏览器历史记录中
• 不能为 POST 请求添加书签
• POST请求对数据长度没有限制

将您的表单更改为:

<form method="POST" action="">

引用:w3schools .

编辑:不要忘记也将您的路由更改为 POST。