Estimados mi duda es la siguiente, agradeceria su ayuda y/o orientación.
Tengo un sistema de usuario con 4 tipos de estado para sus cuentas
- Inactiva: Cuando aún no se valida la cuenta desde el correo electronico
- Activa: Cuenta ya validada exitosamente
- Bloqueada: Cuando excede el numero maximo de intentos(3) para inciar sesion
- Deshabilitada: Cuando se da de baja el usuario o infringe alguna norma
Se ejecuta el siguiente script al hacer login, el cual evalua los difetenes estados y muestra el respectivo mensaje de error.
Mis dudas son especificamente 2
- Como puedo evitar la inyección SQL, y evitar el mal uso del formulario de login, es decir alguien que supere los 3 intentos y la cuenta se bloquee y siga intentado iniciar sesión.
- Que mensajes deberia mostrar cuando el usuario ingresado es correcto, el estado es Inactivo o Deshabilitada, pero la contraseña es incorrecta
Adjunto es script y estaría agradecido de su orientación
<?php
session_set_save_handler(new \SessionHandler());
session_start();
include dirname(__FILE__).'/../../logica/conexion/conexion.php';
$con = new Conexion();
$error = '';
if (isset($_POST['submit'])) {
if (empty($_POST['usuario']) || empty($_POST['clave'])) {
$error = "Por favor ingrese un usuario y contraseña validos";
}else{
$usuario = filter_var(filter_input(INPUT_POST,'usuario'),FILTER_SANITIZE_STRING);
$clave = filter_var(filter_input(INPUT_POST,'clave'),FILTER_SANITIZE_STRING);
$datos = $con->obtenerdatos("correo,clave,nombre,apellido,sid,idusuario,intentos,tiempobloqueo,estado","usuarios","correo = ?",array($usuario));
if (count($datos) > 0){
$fila = $datos[0];
$db_clave = $fila['clave'];
$intentos = $fila['intentos'];
if(password_verify($_POST['clave'],$db_clave)){
switch($fila['estado']){
case 'Activa':
if($intentos <= 2){
date_default_timezone_set("America/Santiago");
$_SESSION['fecha'] = date("Y-m-d G:i:s");
$_SESSION['correo'] = $fila['correo'];
$_SESSION['nombre'] = $fila['nombre'];
$_SESSION['apellido'] = $fila['apellido'];
$_SESSION['idusuario'] = $fila['idusuario'];
$_SESSION['sesion-start'] = time();
$_SESSION['sesion-expire'] = $_SESSION['sesion-start'] + (15 * 60);
$sessionID = $fila['sid'];
$actualizar = $con->actualizar("sesion_expira = ?,sid = ?","usuarios","CURRENT_TIMESTAMP > sesion_expira",array(NULL,NULL));
(new \SessionHandler())->destroy($sessionID);
$_SESSION['sid'] = session_id();
$sid = $con->actualizar("sesion_inicia = ?,sesion_expira = ?,sid = ?","usuarios","correo = ?",array(date('Y-m-d H:i:s',$_SESSION['sesion-start']), date('Y-m-d H:i:s',$_SESSION['sesion-expire']), $_SESSION['sid'], $_SESSION['correo']));
$numero_intentos = $con->actualizar("intentos = 0","usuarios","correo = ?",[$usuario]);
header("location: ../../portal/ordenes");
exit();
}
break;
case 'Inactiva':
$error = 'Su cuenta aún no a sido activada, revise su bandeja de correo electrónico donde encontrara el link de activación';
break;
case 'Deshabilitada':
$error = 'Su cuenta se encuentra deshabilitada por haber infringido las normas de nuestro sitio, par más detalles póngase en contacto con [email protected]';
break;
case 'Bloqueada':
$tiempobloqueo = $fila['tiempobloqueo'];
$minutos = (time() - strtotime($tiempobloqueo))/60;
$minutos = floor($minutos);
$error = 'Su cuenta se encuentra temporalmente bloqueada, favor intente nuevamente en '.$minutos.' minutos, si necesita usar nuestro portal pónganse en contacto con [email protected]';
break;
}
}else{
switch($fila['estado']){
case 'Activa':
if($intentos < 2){
$numero_intentos = $con->actualizar("intentos = intentos + 1","usuarios","correo = ?",[$usuario]);
$intentos_restantes = 2 - $intentos;
if($intentos_restantes == 1){
$cadena = 'queda '.$intentos_restantes.' intento restante';
}else{
$cadena = 'quedan '.$intentos_restantes.' intentos restantes';
}
$error = 'La contraseña ingresada no es valida, '.$cadena;
}elseif($intentos = 2){
$tiempobloqueo = time();
date_default_timezone_set("America/Santiago");
$fechabloqueo = date('Y-m-d H:i:s',$tiempobloqueo);
$numero_intentos = $con->actualizar("intentos = intentos + 1,tiempobloqueo = ?,estado = ?","usuarios","correo = ?",[$fechabloqueo,'Bloqueada',$usuario]);
$error = 'Su cuenta ha sido bloqueada temporalmente por un lapso de 30 minutos';
}
break;
case 'Inactiva':
break;
case 'Bloqueada':
$error = 'Se a superado el numero maximo de intentos';
break;
case 'Deshabilitada':
break;
}
}
}else{
$error = "El usuario ingresado no existe";
}
}
}
?>