2

Tengo la siguiente problemática. Como puedo cerrar la sesión de un usuario en un equipo si me logeo con el mismo usuario, pero desde otro navegador o dispositivo. Actualmente consigo destruir la sesión pero para ver reflejado el cierre de sesión, debo recargar la pagina. Ajunto el codigo

<?php
include 'conexion.php';
$con = new Conexion();
session_set_save_handler(new \SessionHandler());
session_start();
$error='';
if (isset($_POST['submit'])) {
    if (empty($_POST['usuario']) || empty($_POST['clave'])) {
        $error = "Ingrese un usuario y contraseña validos";
    }else{
        $usuario = $_POST['usuario'];
        $clave = base64_encode($_POST['clave']);
        $comprobar = "SELECT usuario,clave,nombre,apellido,genero,rol,sid FROM usuarios WHERE usuario = '$usuario' AND clave='$clave'";
        if (($con->numerofilas2($comprobar)) == 1){
            $query_comprobar = mysqli_query($con->conexion,$comprobar);
            $fila = mysqli_fetch_assoc($query_comprobar);
            date_default_timezone_set("America/Santiago");
            $_SESSION['fecha'] = date("Y-m-d G:i:s");
            $_SESSION['usuario'] = $fila['usuario'];
            $_SESSION['nombre'] = $fila['nombre'];
            $_SESSION['apellido'] = $fila['apellido'];
            $_SESSION['genero'] = $fila['genero'];
            $_SESSION['rol'] = $fila['rol'];
            $_SESSION['sesion-start'] = time();
            $_SESSION['sesion-expire'] = $_SESSION['sesion-start'] + (15 * 60);
            $sessionID = $fila['sid'];
            $insertar = mysqli_query($con->conexion,"INSERT INTO historial_login VALUES(null,'".$_SESSION['usuario']."','".$_SESSION['nombre']."','".$_SESSION['apellido']."','".$_SESSION['fecha']."')");
            (new \SessionHandler())->destroy($sessionID);
            $id = session_id();
            $sid = mysqli_query($con->conexion,"UPDATE usuarios SET sid = '$id' WHERE usuario = '".$_SESSION['usuario']."'");
            header("location: ../inicio.php");
        }else{
            $error = "Usuario o contarseña incorrectos";
        }
    }
}
?>

3 respuestas 3

1

Hola una solución podría ser que al logear el usuario crear una id_session y almacenar en algún campo de la bd de usuarios y que tengas un archivo php que valide siempre si es igual la id_session de la pc con el de la BD.

Yo hice algo parecido pero con respecto al tiempo cierre session al pasar un tiempo de inactivad.

Saludos.

1

Los Problemas

Lamentablemente una vez que el código PHP ha sido procesado por el servidor no tienes control sobre lo que pasa del lado del cliente. No puedes hacer que su explorador lo redireccione, no puedes sacarlo de una página, etc. (Puedes lograr estos comportamientos con JS pero NO SON CONFIABLES)

Por otro lado tampoco puedes estar seguro de que una persona utilice un dispositivo u otro. Pensemos en utilizar la IP como referencia: bueno, pues si yo tengo una red local y sólo tengo un IP de salida mis dos dispositivos tendrán para el exterior la misma IP.

Ejemplo LAN con IP externa e internas

El parámetro correcto para diferenciar dos dispositivos es la MAC Address (identificador único de la tarjeta de red) sin embargo no vas a tener acceso a ella. Aquí más información en caso de que te interese.

Wikipedia Dirección MAC

Ahora la solución; existen arquitecturas (técnicas, diseños) que te permiten limitar las cosas que el usuario puede realizar, por ejemplo... tener una sóla sesión.

Diseño de Arquitectura

Una arquitectura que utilice tokens puede detectar si un usuario tiene o no un token válido y si puede o no realizar una acción. Si los tokens están encadenados de alguna forma puedes detectar que un usuario tenga dos sesiones, en una arquitectura de servicios puedes impedir que haga cualquier cosa.

OJO: no es la única forma

Validación Front (JS)

Podrías pensar también en generar una consulta cada x tiempo a un servicio desde el front, sin embargo cualquier cosa que pase del lado del cliente no es confiable y fácilmente falsificable.

Nunca confíes tu seguridad al front, sin embargo una validación del lado del cliente podrá mejorar su UX.

Front validation

2
  • Y como lo hacen aquellas aplicaciones web que cuando uno se logea desde otro dispositivo, aparece un mensaje de sesion iniciada desde otro dispositivo. el 30 ago. 2020 a las 6:36
  • Hacen una consulta a un WS (usando AJAX generalmente), pero lo hacen por UX, la seguridad real esta en el token o en la sesión... nunca en el front. el 30 ago. 2020 a las 6:38
0

Quizá sea algo tarde, pero yo solucioné este problema de la siguiente forma:

  1. Se tiene que crear una base de datos temporal para que pueda almacenar los registros de las sesiones que tienes activa, en tu caso veo que usaste el session_save_handler que también es válido.

Mi tabla queda de la siguiente forma:

Tabla sesiones

  1. Para llevar un mejor control, uso los procedimientos almacenados para las distintas funcionalidades que usaré en mis controladores y modelos, ya que uso el modelo MVC.
  • REGISTRAR SESION
BEGIN 

INSERT INTO sesiones(sesiones.id_usuario, 
                     sesiones.id_sesion) 
VALUES(IDUSUARIO, IDSESION); 


END
  • LISTAR SESION (obtener sesión específica)
BEGIN

SELECT sesiones.id_usuario, CONCAT("sess_", sesiones.id_sesion) AS id_sesion FROM sesiones WHERE sesiones.id = (SELECT MIN(sesiones.id) FROM sesiones WHERE  sesiones.id_usuario=IDUSUARIO);

END
  • ELIMINAR SESION
BEGIN

DELETE FROM sesiones WHERE sesiones.id_usuario=IDUSUARIO; 

END
  • LISTAR SESION ESPECIAL (lo mencionaré para qué lo usé después)
BEGIN

SELECT sesiones.id_usuario, CONCAT("sess_", sesiones.id_sesion) AS id_sesion FROM sesiones WHERE sesiones.id = (SELECT MIN(sesiones.id) FROM sesiones WHERE  sesiones.id_usuario=( 

    SELECT usuario.usuario_id FROM usuario WHERE usuario.usuario_nombre = USUARIO 

) );

END
  1. Y por fin toca el momento de modificar el código y esto es muy variable, puede que tengas distintas formas de estructurar tu código y data, por tanto explicaré cómo lo hice yo.

Manejé una petición AJAX para esto y el código quedó:

function Verificar_Usuario_2() {
        var usuario = $("#usuario").val();
        var password = $("#password").val();
        if (usuario.length == 0 || password.length == 0) {
            return Swal.fire("Mensaje de advertencia", "Llene los campos vacios", "warning");
        }

        $.ajax({
            url: '../controlador/usuario/controlador_verificar_usuario.php',
            type: 'POST',
            data: {
            u: usuario,
            p: password
            }
        }).done(function (resp) {
            console.log(resp);
            var data = JSON.parse(resp);
            console.log(data);
            if (resp == 0) {
                Swal.fire("Mensaje de advertencia", 'Usuario y/o contrase\u00f1a incorrecta', "warning"); 
                $("#usuario").val("");
                $("#password").val("");
            } 
                else if(resp == 1) {
                    Swal.fire("Mensaje de advertencia", 'Ya te encuentras logeado en otro dispositivo', "info"); 
                }
  • En el controlador controlador_verificar_usuario es donde se realiza lo fundamental, es quien verificará si el usuario ya ha sido encontrado con una session_id distinta a la sesión actual.

Cabe destacar que acá es donde usé el listar_sesion_especial() debido a que en el controlador recibía un $usuario como tipo varchar y para obtener el session_id() guardado en la BD requiero el id_usuario en entero; al menos en caso, esto puede cambiar infinidad de veces dependiendo de la solución que plantees.

session_start();
    require '../../modelo/modelo_usuario.php';
    require '../../modelo/modelo_persona.php';

    $MU = new Modelo_Usuario();
    $MP = new Modelo_Persona();

    $usuario = htmlspecialchars($_POST['u'],ENT_QUOTES,'UTF-8');
    $password = htmlspecialchars($_POST['p'],ENT_QUOTES,'UTF-8');
    $consulta = $MU->Verificar_Usuario($usuario,$password);
    $data = json_encode($consulta);

    $listaSesion=$MP->listar_sesion_especial($usuario);

    if($listaSesion==null) {
        if(count($consulta)>0){
            echo $data;
        } else{
            echo 0;
        } 
    } else if($listaSesion[0][1] != session_id()) {
        echo 1; 
    }

💡 Cabe destacar que acá faltan muchísimas validaciones que dependerán de tu software que desarrolles, como por ejemplo que la sesión tiene que eliminarse cuando cierras sesión (logout) (te dejo el ejemplo al final), cierre del navegador, entre otras.

<a class="dropdown-item" href="../controlador/usuario/controlador_cerrar_sesion.php"><i class="fa fa-power-off"></i>Cerrar sesión</a>
<?php
    
    require '../../modelo/modelo_usuario.php';

    session_start();
    session_destroy();

    $idUsuario=$_SESSION['S_IDUSUARIO'];

    $MU = new Modelo_Usuario();
    $consulta = $MU->eliminar_sesion($idUsuario);
    
    header('Location: ../../vista/login.php');

?>

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.