3

Estoy trabajando en un inicio de sesión, pero necesito validar a diferentes tipos de usuarios. En este caso son:

  • 1 = Usuario final
  • 2 = Admin
  • 3 = Superusuario

En la siguiente manera puedo acceder a solo uno de ellos pero necesito que al logearse automáticamente sepa que tipo de usuario es.

Éste es el código que estoy manejando, pero aun soy nueva y no lo entiendo del todo.

El siguiente código es el que estoy utilizando:

<DOCTYPE html>
<html>

      <!-- Bootstrap core CSS -->
    <link href="res/bootstrap3/css/bootstrap.css" rel="stylesheet">

    <!-- Add custom CSS here -->
    <link rel="stylesheet" href="font-awesome/css/font-awesome.min.css">
<?php

// define('LBROOT',getcwd()); // LegoBox Root ... the server root
// include("core/controller/Database.php");

if(!isset($_SESSION["user_id"])) {
$user = $_POST['email'];
$pass = sha1(md5($_POST['password']));

$base = new Database();
$con = $base->connect();
$sql = "select * from user where (email= \"".$user."\" or username= \"".$user."\") and password= \"".$pass."\" and is_active='1'";
//print $sql;
$query = $con->query($sql);
$found = false;
$userid = null;
while($r = $query->fetch_array()){
    $found = true ;
    $userid = $r['id'];
}

if($found==true) {
//  session_start();
//  print $userid;
    $_SESSION['user_id']=$userid ;
//  setcookie('userid',$userid);
//  print $_SESSION['userid'];

    print "Espere porfavor ... $user";




    print "<script>window.location='index.php?view=home';</script>"; 

}else {
    print "<script>window.location='index.php?view=login';</script>";
}

}else{
    print "<script>window.location='index.php?view=home';</script>";
}
?>
</html>
1
  • 1
    Hola, bienvenido a la comunidad. Te invito a hacer el recorrido y leer ¿cómo preguntar? para que tu pregunta sea bien recibida por parte de la comunidad. ¿Podrías facilitarnos la estructura de la tabla de usuarios y/o aquella que uses para guardar los niveles de acceso? Por cierto, tu código puede sufrir los graves problemas de seguridad asociados a la inyección SQL. el 31 mar. 2020 a las 6:27

1 respuesta 1

2

Lo primero que necesitas es alterar el esquema de la tabla para agregar un campo con el nivel de acceso del usuario:

ALTER TABLE user
  ADD nivel TINYINT NOT NULL DEFAULT 1

Con esta instrucción SQL agregamos un campo de tipo TINYINT (de -128 a 127) que no permite valores vacíos y que, por defecto (si no se indica), dará privilegios de usuario normal a los nuevos registros.

Además, he puesto comentarios en tu código con diferentes cambios:

<?php
/* El código lo ponemos al comienzo, no entre el HTML. En caso contrario
  "session_start()" no podrá mandar las cabeceras necesarias para establecer la cookie */
session_start();
/* Además, esta comprobación no funcionaría porque $_SESSION no estaría disponible */
if (empty($_SESSION['user_id']) === true) {
  $base = new Database();
  $con = $base->connect();
  /* Escapamos la cadena para poder agregarla al SQL con seguridad */
  $user = $con->real_escape_string($_POST['email']);
  /* Un picadillo sha1 no necesita ser escapada, pero (*) */
  $pass = sha1(md5($_POST['password']));
  $sql = "
    SELECT * FROM user
    WHERE (email = '$user' OR username = '$user')
      AND password = '$pass'
      AND is_active = '1'
  ";
  $query = $con->query($sql);
  $r = $query->fetch_array();
  /* No necesitas una variable auxiliar "$found" */
  if ($r !== false) {
    /* Guardamos el "id" de usuario y el "nivel" de acceso */
    $_SESSION['user_id'] = $r['id'];
    $_SESSION['nivel'] = $r['nivel'];
    /* Redirigimos a la URL interna */
    header('Location: index.php?view=home');
    /* Finalizamos esta script */
    die();
  }
}
/* Redirigimos a la URL de inicio de sesión indicando fallo */
header('Location: index.php?view=login&fallo=1');

PD: He de advertirte que el código sufre de los graves problemas de seguridad asociados a la inyección SQL que debe solucionarse con consultas preparadas o usando mysqli::real_escape_string() como te he propuesto en el código.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.