2

Tengo una duda grande en cuanto a seguridad, estoy utilizando session_start() de la siguiente manera:

public function validar()
{
    session_start();

    if(@$_POST) {
        foreach($_POST as $campo => $valor) {
            $asig = "$" . $campo . "='" . htmlspecialchars($valor, ENT_QUOTES) . "';";
            eval($asig);
        }

        $user = addslashes($username);
        $psw  = addslashes($password);
        $usu  = $this->user->validateUser($user, $psw);
        if($usu != null) {
            $_SESSION['use_mail']     = $usu->getUse_mail();
            $_SESSION['use_username'] = $usu->getUse_username();
            $_SESSION['use_psw']      = $usu->getUse_psw();
            $_SESSION['status_id']    = $usu->getStatus_id();
            $_SESSION['loggedin']     = true;
            echo 1;
        }
    }
    else {
        //redirrecciona error 404
        echo 0;
    }
}

En el modelo tengo lo siguiente:

public function validateUser($username, $password)
{
    $sql   = "SELECT * from users WHERE use_username='" . $username . "' AND use_psw='" . $password . "' AND status_id='1'";
    $datos = $this->con->consultaRetorno($sql);

    if($datos->num_rows == 1) {
        $user_temp = new Users();
        $row       = $datos->fetch_array(MYSQLI_ASSOC);
        $user_temp->setUse_mail($row['use_mail']);
        $user_temp->setUse_username($row['use_username']);
        $user_temp->setUse_psw($row['use_psw']);
        $user_temp->setStatus_id($row['status_id']);

        return $user_temp;
    }
}

Todo funciona bien pero mi pregunta es si puedo usar session_start en los constructores una vez la sesión se crea, ejemplo:

class ProductController
{
    public function __construct()
    {
        session_start();
        $this->vehicle  = new Vehicles();
        $this->category = new Categories();
        $this->type     = new Types();
    }

    public function index()
    {
        View::render('driver/list');
    }
}

En todas la vistas tengo lo siguiente

<?php
//Inicio la sesión
if(!isset($_SESSION)) {
    session_start();
}

//COMPRUEBA QUE EL USUARIO ESTA AUTENTIFICADO
if($_SESSION["loggedin"] != true) {
    //si no existe, envio a la página de autentificacion
    header("Location: http://miapp/public/login");
    //ademas salgo de este script
    exit();
}
?>

1 respuesta 1

3

En teoría solo puedes iniciar la sesión una vez durante la ejecución del proceso.

Puedes iniciar la sesión en los constructores de cada controlador, pero tienes que asegurarte que la clase que inicia la sesión es la única que lo hace. De lo contrario lanzará un error de nivel Notice;

Notice: A session had already been started - ignoring session_start() in /var/www/... on line 10

Un sencillo ejemplo que puedes comprobar:

error_reporting(E_ALL);
ini_set("display_errors", 1);

class AA
{
    public function __construct()
    {
        session_start();
    }
}

class BB
{
    public function __construct()
    {
        session_start();
    }
}

$a = new AA();
$b = new BB();

Esto quiere decir que cuando inicias las sesión en el controlador, no necesitas volver a hacerlo en las vistas.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.