Prepared statement php procedurale

[Janhus81]

Salve a tutti,
ho un sito cui si accede tramite password e vorrei inserire i prepared statements per controllare la password e non essere soggetto ad attacchi.

Tuttavia il mio livello di programmazione (procedurale) è abbastanza basico e necessiterei di un aiuto.

Attualmente per entrare con la password uso questa procedura

$db_host = "localhost";
$db_user = "root";
$db_password = "dbpass";
$db_name = "sitoname";
$db = mysql_connect($db_host, $db_user, $db_password);
$result_db  = mysql_query($query_db , $db);

 if ($db == FALSE)die ( 'Errore nella selezione del database_.');
mysql_select_db($db_name, $db)or die ("Errore nella selezione del database. Riprovate a collegarvi più tardi.");

$query_autdb = "SELECT * FROM fatta_users WHERE password=$_POST['password']" ;   
$result_autdb = mysql_query($query_autdb, $db);      
$row_autdb = mysql_fetch_array($result_autdb);      
$num_rows_autdb = mysql_num_rows($result_autdb);      

if ($num_rows_autdb == 0 AND isset($_POST['password'])) :          
    $alert_userpass = "Username o password errati. Riprovare.";      
elseif ($num_rows_autdb == 0 ) :

else :        
    $_SESSION["id_sessione"] = $row_autdb['id'];        
    $_SESSION["attivato"] = $row_autdb['attivo'];        
   header("location:paginadiaccesso.php");
   exit();      
endif; 

Dove in pratica se trova corrispondenza della password nel db mi assegna delle variabili di sezione che poi mi sono utili.

Qualcuno mi sa aiutare?

[rikyeko]

le funzioni mysql sono deprecate, ti consiglio mysqli (OOP che procedurale) o PDO (solo OOP)
per quanto ne so io le prepared statement sono una caratteristica della OOP, ad esempio con PDO faresti una cosa del tipo

// ...

$query_autdb = "SELECT * FROM fatta_users WHERE password=$_POST['password']" ;   
try{
    $result_autdb = $db->prepare($query_autdb);
    $result_autdb->execute();
}
catch(PDOException $e){
    echo "Errore nella query....<br>".$e->getMessge();
    exit();
}

//... 

dove chiaramente la connessione $db la fai con PDO...

[badaze]

Le password non si salvano in chiaro !!!

Poi cosa succede se 2 utenti hanno la stessa password ? Non richiedi l'immissione del nome dell'utente ?

[rikyeko]

è vero non ci avevo fatto caso che non controlla l'abbinamento username password...

[Janhus81]

No beh in questo caso non è un'autenticazioni per utenti ma solo per amministratore del sito. Riguardo le password ovviamente userei l'md5.