Actualmente estoy haciendo un php para hacer un login y redirigir a los usuarios, si el login coincide y aparece, entonces pasa a comprobar si es admin o no, para ello, debe la consulta devolverle en el select el role, la duda es, como consigo sacar el role y después compararlo con un if?
<?php
//Login en la base de datos
$servername = "xxx";
$username = "xxx";
$password = "xxx";
$dbname = "xxx";
//Coge las variables del ajax
$email = $_POST["email"];
$contraseña = $_POST['password'];
// Crea una nueva conexion
$conn = new mysqli($servername, $username, $password, $dbname);
// Comprueba la conexion
if ($conn->connect_error) {
die("Connection failed: " . $conn->connect_error);
}
$total = mysqli_num_rows(mysqli_query($conn," SELECT email FROM USUARIOS where email = '$email' and password = '$contraseña'"));
if($total == 1){
$admin = $conn,"SELECT role FROM USUARIOS where email = '$email' and password = '$contraseña'" ->get_result() ;
if( $admin == 'admin'){
echo "U are a admin user" . $admin;
header('Location: ../admin.html');
} else {
echo "U are a normal user" . $admin;
header('Location: ../user.html');
}
}else{
echo "Error login";
}
$conn->close();
?>
De momento es lo que tengo hecho (acepto modificaciones o explicaciones también de otras cosas ya que lo estoy haciendo como puedo)
SELECT email FROM USUARIOS where email = '$email' and password = '$contraseña'
, porque las variables$email
y$contraseña
podrían ser modificadas por usuarios mal intencionados cambiándolas por código que podría encadenar otras consultas para borrar/modificar/insertar/obtener datos sensibles, o incluso para ejecutar comandos dañinos en tu propio sistema. Es lo que se conoce como Inyección SQL y que deberías prevenir usando consultas preparadas. Ponlo en carpeta para un futuro no lejano.