Al iniciar sesión en un sitio con credenciales de usuario / contraseña incorrectas, el error que se muestra generalmente es un "nombre de usuario o contraseña genérico". Al buscar en algún código PHP que maneja dicho inicio de sesión, encontré una solicitud MYSQL restringida tanto en la identificación del usuario como en el hash de la contraseña, lo que hace imposible determinar cuál de las cadenas era incorrecta si la solicitud no responde.
¿Hay algún principio de seguridad que explique por qué los sitios no buscan el nombre de usuario y luego coinciden con la contraseña, y también por qué no hacen que los mensajes de error sean más específicos ("Nombre de usuario desconocido", "Contraseña incorrecta" )?