0

Tengo dos usuarios: Admin / Visitante los cuales al hacer login generan una variable de session y son redireccionados a Admin.php y Visitante.php, respectivamente. El problema que tengo es que me he dado cuenta que el visitante puede acceder a Admin.php tan solo cambiando la url or ejemplo: http://.../visitante.php por http://../Admin.php

Como puedo evitar eso? como se llama este tipo de fallo? Gracias por su rptas.

3 respuestas 3

1

Lo que puedes hacer es una validación del tipo de usuario que intenta acceder a la URL, si es Visitante lo rediriges a la página del Visitante, como a continuación te lo muestro:

<?php
    //En el if va la variable con la que identificas al usuario
    if($_SESSION['tipo_user'] == "Admin"){ 
?>
    //Código de la página del administrador
<?php    
    }else{
        redirect('http://.../visitante.php ');
    }
?>
1
  • 1
    Sé que lo que voy a comentar va a parecer innecesario porque el resultado final va a ser el mismo, pero el if debería comprobar que el usuario no es el administrador en lugar de comparar si es el visitante. Lo que tienes ahora sería equivalente a una lista negra, y si en el futuro se añade un nuevo tipo de usuario, hará falta cambiar el código para que siga funcionando o el nuevo tipo podrá acceder a las herramientas de administrador. Comprobando que no es el administrador sería una lista blanca, y haría el código más seguro y robusto en este caso.
    – Alvaro Montoro
    Commented el 7 jun. 2019 a las 11:35
0

Buenas aquí tienes una pequeño código que tendrás que introducir en todas las paginas para que haga la comprobación, yo lo que haría es crearlo en un php a parte y luego introducirlo en todas las paginas haciendo un require('validacion.php');

    if($_SESSION["Usuario"]=="Visitante"){
      header("Location: paginasquepuedeverelvisitante.php");
    }
    else if($_SESSION['Usuario']=="Admin"){
      header("Location: pagiansdeadministracion.php");

    }

0

Puedes hacer que en el archivo Admin.php, tras haber cargado en la página del login con la instrucción $_SESSION['tipo_usuario'] = $tipoUsuario (o como tengas guardado de qué tipo de usuario se trata tras conocer el usuario que se loguea).

Lo que queda es preguntar en Admin.php si el tipo de usuario esta cargado, y sino, redirigirlo al login.

if(!isset($_SESSION['tipo_usuario']) && $_SESSION['tipo_usuario'] 
== 'admin') {
    header("Location: index.php");
}

Con !isset($_SESSION['tipo_usuario']) evitas que se pueda entrar directamente a Admin.php.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.