El problema que estás sufriendo es que estás contando TODOS los registros en la tabla mjs
que cumplan la condición idnivel_usuario='Empleado' AND estado_mjs='No leido'
y no estás teniendo en cuenta que el destinatario sea el usuario en cuestión.
Personalmente no te recomiendo almacenar en las variables de sesión el usuario y contraseña del usuario, es información sensible que podría ser robada del servidor. Deberías guardar información útil sobre el usuario al que pertenece la sesión, por ejemplo su identificador de usuario, usuario.id
, con lo que te ahorras:
- Comprobar en cada acceso a un PHP la comprobación de usuario y contraseña.
- Consultar la tabla de usuarios para obtener el identificador de usuario para acceder a sus datos de otras tablas relacionadas.
Dejando de lado esos temas (si quieres me lo puedes pedir y te podría hacer un ejemplo de cómo se haría correctamente) te expongo el código que funciona correctamente y una breve explicación:
<!-- proceso para consultar-->
<?php
if (!isset($_SESSION['usuario.id'])) {
$login = mysql_real_escape_string($_SESSION['login']);
$password = mysql_real_escape_string($_SESSION['password']);
$sql = "SELECT id FROM usuario WHERE login='$login' AND
password='$password'";
$resultl = mysql_query($sql,$link);//devuelve la consulta
if ($resultl === false) {
die(mysql_error());
}
$_editar_linea = mysql_fetch_assoc($resultl);
if ($_editar_linea === false) {
die('Acceso denegado');
}
$_SESSION['usuario.id'] = $_editar_linea['id'];
}
$id_usuario = mysql_real_escape_string($_SESSION['usuario.id']);
$sql = "
SELECT
COUNT(*) numero
FROM
mjs
WHERE
idnivel_usuario = 'Empleado'
AND
estado_mjs = 'No leido'
AND
fk_cedula = '$id_usuario'
";
$resultl = mysql_query($sql,$link) or die("Error en: $sql: " .
mysql_error());
$campo = mysql_fetch_assoc($resultl);
?>
<li><a href="mjs.php">Mjs <span class="new badge blue"><?= htmlspecialchars($campo['numero']) ?>
</span></a></li>
<!--fin proceso para consultar-->
Para empezar, debes escapar las cadenas de caracteres correctamente antes de introducirlas en una consulta SQL. Ya que no tienes a tu disposición consultas preparadas con asociación de variables (como ofrece PDO o mysqli) entonces debes hacer uso de la función mysql_real_escape_string()
.
Si no lo haces podrías sufrir ataques de inyección SQL que expusieran información sensible de tu empresa. Para empezar, como no usas algoritmos de hash
para almacenar las contraseñas en tu base de datos, podrían acceder a los usuarios y contraseñas en texto plano.
He creado un bloque de control inicial para ahorrar la consulta a la base de datos para obtener el usuario.id
. Sólo se obtendrá la primera vez, las siguientes visitas se reutilizará el valor almacenado en las variables de sesión.
La consulta SELECT COUNT(*) numero
obtendrá el número de registros sin tener que sobrecargar al servidor MySQL enviando todos y cada uno de los mensajes al script PHP (y también ahorrando memoria en ambos extremos) con un alias numero
para ser accedido desde el resultado.
En algunos lados de tu código abres bloques de código { ... }
sin asociar a ninguna instrucción de control que no son necesarios y, por lo tanto, los he eliminado de mi respuesta.
Por último, aunque sé que es un número, te recomiendo que uses htmlspecialchars()
siempre que vayas a mostrar en el documento información obtenida de la base de datos para evitar ataques de inyección HTML, CSS y/o JS.