Estoy trabajando con PHP y MYSQL, tengo un formulario muy simple para ingreso de solicitudes. Todo funciona bien, pero he estado haciendo algunas validaciones y me di cuenta de un detalle que no he logrado solucionar. Si copio en la URL la dirección de mi pagina eliminar_pasantia.php y le doy parámetros como por ejemplo ?id=1, elimina inmediatamente el registro, independientemente que el perfil del usuario no tenga acceso a eliminar registros. Para eliminar solo actualizo el estado de la solicitud de 1 a 0. Solo los usuarios con ROL 1 y 2 pueden eliminar registros, los usuarios con ROL 3 y 4 no tienen acceso Necesito evitar que se elimine a través de la URL. Mi código PHP es el siguiente:
/*--------------FUNCION PARA ACTUALIZAR ESTADO DE LA SOLICITUD---------------------------*/
function delete_by_id($id)
{
global $db;
if(tableExists($table))
{
$sql = "UPDATE pasantia SET estatus = '0'";
$sql .= "WHERE id=". $db->escape($id);
$db->query($sql);
return ($db->affected_rows() === 1) ? true : false;
}
}
/*--------------BOTON EN MI LISTA PARA ELIMINAR EL REGISTRO---------------------------*/
<div class="btn-group">
<a href="editar_pasantia.php?id=<?php echo (int)$data['id'];?>" class="btn
btn-info btn-xs" title="Editar" data-toggle="tooltip">
<span class="glyphicon glyphicon-edit"></span>
</a>
<a href="eliminar_pasantia.php?id=<?php echo (int)$data['id'];?>" class="btn
btn-danger btn-xs" title="Eliminar" data-toggle="tooltip">
<span class="glyphicon glyphicon-trash"></span>
</a>
</div>
/*--------------PAGINA ELIMINAR_PASANTIA.PHP---------------------------*/
if($_SESSION['rol'] == 3 or $_SESSION['rol'] == 4)
{
header("location: admin.php");
}
?>
<?php
$pasantia = find_by_id('pasantia',(int)$_GET['id']);
if(!$pasantia)
{
// $session->msg("d","ID vacío");
redirect('admin.php');
}
?>
<?php
$delete_id = delete_by_id((int)$pasantia['id']);
if($delete_id)
{
$session->msg("s","Solicitud Pasantia eliminada");
redirect('pasantia.php');
}
else
{
$session->msg("d","Eliminación falló");
redirect('pasantia.php');
}
?>
eliminar_pasantia.php
, ¿eso es todo el código? ¿En algún momento ejecutassession_start()
?session_start()
y luego obtener los permisos o condicionar que se ejecute el código si en caso no fuesen del ROL 3 o 4 con un simpleif