0

Estoy haciendo una pagina web donde tengo un login y cuando inicias sesión te lleva a un archivo que se llama usuario.php Lo que quiero conseguir es que solo los usuarios logeados puedan ver el contenido del archivo usuario.php Quiero evitar que en el buscador del navegador poniendo ruta/usuario.php te muestre los datos sin haberte logeado,para asi dar mas seguridad .

Actualmente con lo que tengo hecho,consigo que nadie entre al archivo usuario.php pero tampoco los usuarios que se logean ,les redirige a todos a index.html

Este es mi login.php

//CAPTURO LOS INPUTS
$user=$_POST["email"];
$passw=$_POST["password"];

//CONECTAMOS CON LA BBDD
$conexion=mysqli_connect("localhost","root","x", "bbdd");    
if(mysqli_connect_errno($conexion)) {
    printf("Falló la conexión: ",mysqli_connect_errno());

}
//comprobamos que exista el usuario
$resultado=mysqli_query($conexion,
    "SELECT * FROM usuarios WHERE 
    correo='$user' and 
    contrasena='$passw'");
$usuExiste=mysqli_num_rows($resultado);

if($usuExiste >0){
    $_SESSION['loggedin'] = true;
    $_SESSION['username'] = $user;
    $_SESSION['start'] = time();
    $_SESSION['expire'] = $_SESSION['start'] + (5 * 60);
    header('location:usuario.php');
    echo "";

} else {
    echo "<script>alert('Usuario y/o Contraseña incorrectas.')
        window.location='index.html'</script>";
}
session_destroy();
?>  

y este mi usuario.php

<?php
session_start();


if (isset($_SESSION['loggedin'])) {

} else {
  echo "<script>alert('esta pagina es para administradores')
    window.location='index.html'</script>";

header("location:index.html");

exit;
}

$now = time();

if($now > $_SESSION['expire']) {
session_destroy();

echo "Su sesion a terminado,
<a href='login.html'>Necesita Hacer Login</a>";
exit;
}
?>

1 respuesta 1

1

En el login.php también tienes que poner el

session_start();

El session_destroy(); ponlo dentro de la parte else del if (soy paranóico) y cierra el punto y coma del echo:

} else {
    echo "<script>alert('Usuario y/o Contraseña incorrectas.');
    window.location='index.html'</script>";
    session_destroy();
}

Del mismo modo que pones exit en el usuario.php, hazlo en el login.php:

$_SESSION['expire'] = $_SESSION['start'] + (5 * 60);
header('location:usuario.php');
//echo ""; // No vale para nada
exit;

Busca y lee información sobre SQL Injection, tu código es vulnerable a un ataque muy conocido que todo el mundo puede explotar sin muchos conocimientos.

Con estos cambios te debería funcionar.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.