0

Hola amigos actualmente me encuentro en proceso de migrar los códigos a PDO que por lo que he visto es como más seguro, bueno voy por la parte de validar sesión para usuarios, comparto mi código que usaba para validar las sesiones, lo que pretendo con esto es hacer la validación de las sesiones tengan un nivel máximo de seguridad. ¿Qué le podría añadir, qué le podría quitar?, siempre es bueno escuchar consejos. Esta es la parte de registrar usuarios que estoy usando

$hash_password= hash('sha256', $_POST['password']);
$sql->bindParam(':hash_password',$hash_password,PDO::PARAM_STR);  

código validar session

<?php
 include("conexion/conexion.php");
$correo = mysql_real_escape_string($_POST["correo"], $link);   
$clave = mysql_real_escape_string($_POST["clave"], $link);
$sql_user = "SELECT correo FROM usuarios WHERE correo = '$correo' LIMIT 1";
$exec = mysql_query($sql_user,$link);
if(mysql_num_rows($exec) == 0)
        {
            ?>
<script languaje="javascript">
alert("Email incorrecto");
location.href = "iniciar_sesion.php";
</script>
            <?php
        }


$sql = ("SELECT * FROM usuarios WHERE correo='$correo' AND clave='$clave' AND idnivel='Administrador' ");
    $result = mysql_query($sql,$link);
    if($row = mysql_fetch_array($result))
        {
            session_start();
$_SESSION['id'] = $id;

$_SESSION['correo'] = $correo;
$_SESSION['clave'] = $clave;
$_SESSION['idnivel'] = 'Administrador';
$_SESSION['Administrador'] = $clave;
$_SESSION['nombres'] = $row['nombres'] . ' ' . $row['apellidos'];

$_SESSION['id'] = $row['codusuarios'];


header("Location: admin/home.php");
        }

    else
        {
            ?>
<script languaje="javascript">
alert("Contraseña incorrecta");
location.href = "iniciar_sesion.php";
</script>
            <?php
        }

$sql = ("SELECT * FROM usuarios WHERE correo='$correo' AND clave='$clave' AND idnivel='Secretarias' ");
$result = mysql_query($sql,$link);

    if($row = mysql_fetch_array($result))
        {
            session_start();
$_SESSION['id'] = $id;

$_SESSION['correo'] = $correo; //muestra el login
$_SESSION['clave'] = $clave;//muestra la clave
$_SESSION['idnivel'] = 'Secretarias'; //muestra el nivel del usuario
$_SESSION['Secretarias'] = $correo;
$_SESSION['nombres'] = $row['nombres'] . ' ' . $row['apellidos'];
$_SESSION['cedula'] = $row['cedula'];
$_SESSION['id'] = $row['id'];



            header("Location: secretaria/home.php");
        }

    else
        {
            ?>
                <script languaje="javascript">
                alert("Contraseña incorrecta");
                location.href = "iniciar_sesion.php";
                </script>




    <?php
        }

$sql = ("SELECT * FROM usuarios WHERE correo='$correo' AND clave='$clave' AND idnivel='Usuarios' ");
$result = mysql_query($sql,$link);

    if($row = mysql_fetch_array($result))
        {
            session_start();
$_SESSION['id'] = $id;

$_SESSION['correo'] = $correo;
$_SESSION['clave'] = $clave;
$_SESSION['idnivel'] = 'Usuarios';
$_SESSION['Usuarios'] = $correo;
$_SESSION['nombre'] = $row['nombre'] . ' ' . $row['apellido'];

$_SESSION['id'] = $row['codusuarios'];



            header("Location: usuarios/home.php");
        }

    else
        {
            ?>
                <script languaje="javascript">
                alert("Contraseña incorrecta");
                location.href = "iniciar_sesion.php";
                </script>





            <?php
        }


    mysql_free_result($result);

    mysql_close();
?>

1 respuesta 1

1

Te recomiendo varias cosas:

  • No muestres mensajes "inteligentes" cuando el correo no exista o la clave sea incorrecta. Haz un único mensaje diciendo "Correo y/o contraseña incorrecta". No facilites el trabajo de búsqueda de usuarios válidos.
  • NUNCA (y repito, NUNCA) guardes la contraseña en una variable de sesión. Si estás en un alojamiento compartido los archivos de sesión se guardan en una ubicación compartida por todas las páginas web, pudiendo, de esta forma, robar las credenciales de tus usuarios fácilmente.
  • Usa una sal para agregarla al hash de la contraseña. Dificultarás (en caso de que accedan mediante inyección SQL a tus datos de usuarios) la obtención de las claves mediante tablas arcoiris.

Convierto esta respuesta en una wiki de comunidad para que vayan agregando más consejos.

1
  • muchas gracias por tu consejo
    – yoclens
    Commented el 10 dic. 2016 a las 14:20

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.