0

Cordial saludo. Diseñando mi sitio web con PHP, e notado algo que no es correcto. En la primera pagina, el usuario ingresas sus datos (usuario y contraseña). Luego de que es validado en la base de datos identificando que existe, se le da acceso a la pagina del menú que le permite hacer consultas a la base de datos. Al copiar la URL de la pagina donde esta el menú, note que se puede ingresar sin hacer la validación de usuario y contraseña. Entonces pensé, que pasaría si el usuaria le comparte la URL de la pagina donde esta el menú a otra persona que no tiene permisos? pues ingresara a los datos.

He pensado en ponerle una validación también a la pagina del menú utilizando session_start(), que me permitirá conservar las variables del usuario ingresadas en la primera pagina y si este no había ingresado nada (trato de ingresar directamente a la URL de la pagina del menú) le saldrá un mensaje como "Debe ingresar sus datos de usuario".

Al intentar hacer dicha validación, note que no me era fácil y pensé, posiblemente haya alguna forma mas practica de hacer lo que estoy intentado.

Agradezco las indicaciones que me puedan brindar.

4
  • El principio es ese. Cuando el usuario loguea positivamente almacenas un token en sesión y al cargar cada página compruebas si existe ese token, en caso de hacerlo le sirves la página en cuestión, en caso de no hacerlo le rediriges a la página de "Sesión caducada".
    – phpMyGuel
    Commented el 14 ene. 2021 a las 12:28
  • Es facil validar una sesión y su nivel de acceso. Pero para ello debes mostrar que estás intentando para saber si lo haces bien o no.
    – Excorpion
    Commented el 14 ene. 2021 a las 12:46
  • Debes validar si existe una sesión abierta antes de entrar a cualquier página, de esa forma, cualquiera podría entrar, pero si no se ha logueado, entonces no puede acceder a la información Commented el 14 ene. 2021 a las 13:42
  • Veo que tienes varias ideas. Mi sugerencia siempre será: prueba, revisa qué funciona, qué falla y vuelve acá con los problemas que tienes
    – Alfabravo
    Commented el 14 ene. 2021 a las 15:17

2 respuestas 2

1

Como te lo dijeron en los comentarios, necesitas una sesión

Si documentas el manual de php podrás ver que esto se hace con la variable $_SESSION, variable única del servidor y no obtenible desde el cliente

Puedes hacer lo siguiente

<?php
session_start();
if (empty($_SESSION["username"])) {
    header("Location: login.php", true, 301);
    die();
}
?>

Explicando:

El método session_start() inicia una sesión o reanuda la que ya ha sido iniciada, es importante que esta vaya antes de la declaración del documento (!DOCTYPE HTML) para que se ejecute, ya que esta es un header (Puedes encontrar una explicación más amplia de headers aquí)

Luego, validaremos si dentro de la sesión existe username, si no existe, redireccionaremos al usuario a login.php, con una redirección 301 (Redirección permanente)

Es importante el die() para detener la ejecución del script si el usuario no está logeado y prevenir error_log

Tu sesión se podrá acceder desde tu dominio, NO incluye subdominios

Puedes asignar variables de sesión de la siguiente manera

<?php
session_start();
$_SESSION["username"] = "valor";
?>
1
  • Muchas gracias por la informacion. Commented el 15 ene. 2021 a las 11:21
1

Es conveniente, asegurarte de validar las credenciales en cada una de las páginas que correspondan a una sesión para evitar posibles SQL Injection.

En el siguiente código, si la sesión no se ha validado, el programa enviará al usuario a la página de Login hasta que las credenciales sean validadas por parte del sistema y el usuario haya iniciado sesión.

Acuérdate de incluir siempre session_start() si quieres hacer uso de las variables de sesión que establezcas.

<?php
  
session_start();
 
if(!isset($_SESSION["loggedin"]) && $_SESSION["loggedin"] !== true){
  header("location: login.php");

  exit;
}

    require_once "config.php";

?>

Convendría que subieras fragmentos de tu código para que así pudiésemos ayudarte de una forma mucho más precisa.

Un saludo.

1
  • Gracias Nick, excelente aporte. Commented el 15 ene. 2021 a las 11:22

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.