3

Hola, buenas.

Disculpen que ponga esto, soy un poco nuevo en esto.

Tengo un login con php y mysql, y he querido hacer una validacion en la cual el usuario despues de intentar logear 3 veces al sistema con la contraseña incorrecta lo bloquee automaticamente, tengo una base de datos en mysql con una tabla llamada "usuario" donde esta toda la informacion del usuario como ser el nombre del usuario y la contraseña, aparte de eso añadi un campo mas que se llama "intentos" donde llevara los intentos hechos por ingresar mal los datos al sistema, cuando el usuario ingrese mal se hara un update a este campo, para llenar este campo tengo un "contador" que cada vez que el usuario ingresa mal un dato va sumando uno y una vez llegue a 3 entonces que ejecute otro update que tengo que modifica el estado del usuario a inactivo.

el problema que tengo es que, no se que estoy haciendo mal porque no me modifica los intentos en la base y el estado, tambien tengo encryptado la contraseña no se eso influye en lo que tengo.

dejo el codigo que tengo, seria de mucha ayuda si me pueden ayudar.

<?php
try {
    $base=new PDO("mysql:host=localhost; dbname=base_ihadfa", "root", "");
    $base-> setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);


    //$sql="SELECT * FROM usuario WHERE Usuario= :login AND Password= SHA1('" . ":password" . "')";
    $sql="SELECT * FROM usuario WHERE Usuario= :login AND Password= SHA1(:password)";

    //consulta preparada con marcadores
    $resultado=$base->prepare($sql);

    //convertir cualquier simbolo/ capturar lo se ingreso en los textboxs
    $login=htmlentities(addslashes($_POST["login"]));
    $password=htmlentities(addslashes($_POST["password"]));

    //bindvalue: 
    $resultado->bindvalue(":login", $login);
    $resultado->bindvalue(":password", $password);
    $resultado->execute();
    //contar el numero de filas o registro de la base
    $numero_registro=$resultado->rowCount();
     $filas=$resultado->fetch(PDO::FETCH_ASSOC);


//campo "intentos" de la tabla usuario inicializado en 0 -----------------------------------------------
     $_SESSION['intentos'] = 0; 

 if ($numero_registro !=0) {
 
        //iniciar sesion
       session_start();
       //almacenar la session del usuario en una variable super global
   
        $_SESSION['idUsuario'] = $filas['ID_Usuario'];
        $_SESSION['Nivel_Permiso']= $filas['Nivel_Permiso'];
        $_SESSION['Estado']= $filas['Estado'];
        $_SESSION['Password']= $filas['Password'];
        $_SESSION['Usuario']= $filas['Usuario'];
        
     //Usuario inactivo
      if ($_SESSION['Estado']=='Inactivo') {
        //header("location:../../index.php");
        echo "<script>swal({
                title: 'Usuario Inactivo',
                text: '',
                type: 'warning',
                confirmButtonText: 'Aceptar',
                allowOutsideClick: false,
                confirmButtonColor: '#0CA822'}) 
                .then((result) => { 
                window.location=window.location='http://localhost/Sistema/Cuenta/index.php'});</script>";
      
      }elseif($_SESSION['Estado']=='Activo')
      {
      //Nivel de Administrador
        if ($_SESSION['Nivel_Permiso']=='Administrador')
        {
        //header("location:../../../MDI/MDI_Admin.php");
        echo "<script>swal({
                title: 'Bienvenido al Sistema',
                text: '',
                type: 'success',
                confirmButtonText: 'Aceptar',
                allowOutsideClick: false,
                confirmButtonColor: '#0CA822'}) 
                .then((result) => { 
                window.location=window.location='http://localhost/Sistema/MDI/MDI_Admin.php'});</script>";
       }  
       elseif($_SESSION['Nivel_Permiso']=='Usuario')
       {
       // header("location:../../../MDI/MDI_Usuario.php"); 

        echo "<script>swal({
                title: 'Bienvenido al Sistema',
                text: '',
                type: 'success',
                confirmButtonText: 'Aceptar',
                allowOutsideClick: false,
                confirmButtonColor: '#0CA822'}) 
                .then((result) => { 
                window.location=window.location='http://localhost/Sistema/MDI/MDI_Usuario.php'});</script>";   
          }  
        }    

     }else{
         
//usuario o contraseña malos------------------------------------------------
        
        echo  "<script>swal({
                title: 'Usuario o contraseña incorrecto',
                text: 'Ingrese de nuevo sus datos',
                type: 'error',
                confirmButtonText: 'Aceptar',
                allowOutsideClick: false,
                confirmButtonColor: '#E12A2A'})  
                .then((result) => { 
                window.location=window.location='index.php'});</script>";
//contador y update que actualiza el incremento de intentos al campo "intentos"-----------------------------
                $_SESSION['intentos'] += 1;  
                $sql = "UPDATE usuario SET intentos = '$_SESSION['intentos']' WHERE Usuario = '$login'";
                
    }
    //bloquea al usuario--------------------------------------------------------------------
    if ($_SESSION['intentos']==3){
      echo "<script>swal({
        title: 'Cuenta bloqueada',
        text: 'Ingrese de nuevo sus datos',
        type: 'error',
        confirmButtonText: 'Aceptar',
        allowOutsideClick: false,
        confirmButtonColor: '#E12A2A'})  
        .then((result) => { 
        window.location=window.location='index.php'});</script>";

        $sql = "UPDATE usuario SET Estado = 'Inactivo' WHERE Usuario = '$login'";
     }

   
} catch (exception $e){
    //cuando mo conecte a la base de datos
    die("Error: " . $e->getmessage() );
}
?>

dejo una foto de la tabla que tengo en la base de datos con mysql base

Gracias por sus respuestas

1
  • Calculo que la respuesta de Alberto es a modo informativo, pero estaría bueno aclarar lo siguiente: JAMAS COPIEN Y PEGUEN ESE CÓDIGO, ya que una query como esa da lugar a una inyeccion SQL. Usar prepared statements con PDO o un ORM. Commented el 13 feb. 2020 a las 20:33

1 respuesta 1

4

Tienes un error en la lógica, el sistema está haciendo lo que le estás pidiendo.

  • Estas intentando settear una variable de sesión $_SESSION['intentos'] = 0 antes del session_start()
  • Cuando se vuelve a invocar tu script, el primer comando es settear $_SESSION['intentos'] = 0, esto hará que los intentos sean infinitos
  • Siempre antes que un echo, van las instrucciones que debes hacer, lo estás haciendo mal en el paso 3, estás invocando un script que redirige a otra página, eso puede ocasionar que el PHP no termine de hacer su trabajo.
  • En ningún caso estás invocando la ejecución de tus consultas

Te propongo esta solución antes del try

session_start();
if( array_key_exists( 'intentos', $_SESSION ) ){
    $_SESSION['intentos'] = $_SESSION['intentos'] + 1;
} else {
    $_SESSION['intentos'] = 0;
}
$sql = "UPDATE usuario SET intentos = $_SESSION['intentos'] WHERE Usuario = '$_POST['login']'";
$base->exec($sql);

Esto validará si hay ya una variable de sesión con el índice intentos, si existe, le suma 1, si no existe, la crea en 0

if( $_SESSION['intentos'] >= 3 ){
$sql = "UPDATE usuario SET Estado = 'Inactivo' WHERE Usuario = '$login'";
$base->exec($sql);
      echo "<script>swal({
        title: 'Cuenta bloqueada',
        text: 'Ingrese de nuevo sus datos',
        type: 'error',
        confirmButtonText: 'Aceptar',
        allowOutsideClick: false,
        confirmButtonColor: '#E12A2A'})  
        .then((result) => { 
        window.location=window.location='index.php'});</script>";
}

Cambié la condición que sea == 3 a que sea >= 3, si la persona por X razón vuelve a enviar la información, lo dejará pasar, puesto que $_SESSION['intentos'] valdrá 4 y romperá la condición. Por último y no menos importante, cambia que el query vaya primero Y QUE SE EJECUTE!

Eso debería resolver muchos de tus problemas

5
  • 1
    Muchas gracias por tu respuesta, solo un pequeño detalle. como puedo hacer insertar los valores del contador en la base es que tengo un campo llamdo intentos que se refiere a los intentos llamadaos por el usuario.
    – Darklawz
    Commented el 10 ago. 2019 a las 6:45
  • Modifique la respuesta, lo puedes hacer justo debajo crear las variables de $_SESSION['intentos'], solo recuerda que cuando sea un login exitoso, hacer una consulta para regresar los intentos a 0. Commented el 10 ago. 2019 a las 14:48
  • gracias, disculpa que te moleste tengo un problema. CUando bloquea a un usuario me los bloqueas a todos
    – Darklawz
    Commented el 10 ago. 2019 a las 15:49
  • Creo que debes modificar un poco la consulta, no conozco tu modelo de base de datos. El problema inicial se ha resuelto, puedes abrir otro hilo o con mucho gusto te apoyo con consultoría privada. Commented el 10 ago. 2019 a las 19:12
  • Si inicializas en 0 y consultas que sea mayor o igual a 3, le estaras dando 4 posibilidades, mejor lo inicializas en 1. A no ser que la SESSION cargue en conjunto al formulario.
    – jolsalazar
    Commented el 13 feb. 2020 a las 20:43

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.