1

Estoy trabajando con PHP y MYSQL, tengo un formulario muy simple para ingreso de solicitudes. Todo funciona bien, pero he estado haciendo algunas validaciones y me di cuenta de un detalle que no he logrado solucionar. Si copio en la URL la dirección de mi pagina eliminar_pasantia.php y le doy parámetros como por ejemplo ?id=1, elimina inmediatamente el registro, independientemente que el perfil del usuario no tenga acceso a eliminar registros. Para eliminar solo actualizo el estado de la solicitud de 1 a 0. Solo los usuarios con ROL 1 y 2 pueden eliminar registros, los usuarios con ROL 3 y 4 no tienen acceso Necesito evitar que se elimine a través de la URL. Mi código PHP es el siguiente:

 /*--------------FUNCION PARA ACTUALIZAR ESTADO DE LA SOLICITUD---------------------------*/
 function delete_by_id($id)
 {
 global $db;
 if(tableExists($table))
 {
  $sql = "UPDATE pasantia SET estatus = '0'";
  $sql .= "WHERE id=". $db->escape($id);
  $db->query($sql);
  return ($db->affected_rows() === 1) ? true : false;
 }
 }

 /*--------------BOTON EN MI LISTA PARA ELIMINAR EL REGISTRO---------------------------*/

  <div class="btn-group">
        <a href="editar_pasantia.php?id=<?php echo (int)$data['id'];?>" class="btn 
    btn-info btn-xs"  title="Editar" data-toggle="tooltip">
                    <span class="glyphicon glyphicon-edit"></span>
                  </a>
      <a href="eliminar_pasantia.php?id=<?php echo (int)$data['id'];?>" class="btn 
     btn-danger btn-xs"  title="Eliminar" data-toggle="tooltip">
                    <span class="glyphicon glyphicon-trash"></span>
                  </a>
                </div>
 /*--------------PAGINA ELIMINAR_PASANTIA.PHP---------------------------*/

   if($_SESSION['rol'] == 3 or $_SESSION['rol'] == 4)
  {
    header("location: admin.php");
  }

?>
<?php
 $pasantia = find_by_id('pasantia',(int)$_GET['id']);
 if(!$pasantia)
  {
  // $session->msg("d","ID vacío");
  redirect('admin.php');
 }
 ?>
 <?php
  $delete_id = delete_by_id((int)$pasantia['id']);
  if($delete_id)
  {
  $session->msg("s","Solicitud Pasantia eliminada");
  redirect('pasantia.php');
  } 
  else 
  {
  $session->msg("d","Eliminación falló");
  redirect('pasantia.php');
  }
 ?>
7
  • ¿Cual sería la pregunta? Imagino que buscas evitar que elimine el registro si no tiene acceso, pero... no lo estas preguntando, ni tampoco nos estas mostrando como saber si el usuario tiene permisos o no.
    – Marcos
    Commented el 19 may. 2022 a las 14:52
  • Actualice la pregunta, pero necesito evitar que se pueda eliminar desde la URL. Porque los usuarios con ROL 3 y 4 no pueden acceder a las opciones de eliminar en las listas con las solicitudes.
    – SBK22
    Commented el 19 may. 2022 a las 15:04
  • Lo que mostras del archivo eliminar_pasantia.php, ¿eso es todo el código? ¿En algún momento ejecutas session_start()?
    – Marcos
    Commented el 19 may. 2022 a las 15:07
  • ¿Estos archivos PHP dónde no tienen acceso ciertos usuarios, tienen algún tipo de condicional ni bien empezar el código? Sino, se me ocurre que debes iniciar haciendo eso, con el session_start() y luego obtener los permisos o condicionar que se ejecute el código si en caso no fuesen del ROL 3 o 4 con un simple if
    – lsanchezo
    Commented el 19 may. 2022 a las 15:08
  • Eso esta en el código, el problema que la pagina para eliminar no se visualiza, solo ejecuta el codigo para eliminar, por eso no he logrado impedir que se eliminen los archivos por URL. Tengo en mi codigo session_start().
    – SBK22
    Commented el 19 may. 2022 a las 15:22

1 respuesta 1

5

puedes hacerlo asi:

// colocar es importante!
 session_start();
 // esto evitara que si no hay rol se puede continuar
 if(!isset($_SESSION['rol'])){ die("debes iniciar session primero"); }
 // el rol debe ser 3 o mayo
 if($_SESSION['rol'] >=3){
  // redirecciona a admin.php
  header("Location: admin.php");
  // die termian la ejecucion
  die();
 }

ahora para eliminar:

 $pasantia = find_by_id('pasantia',(int)$_GET['id']);
 // volvemos a validar por si acaso
 if(!$pasantia && $_SESSION['rol'] >= 3){
  // $session->msg("d","ID vacío");
  // redirecciona a admin.php
  header("Location: admin.php");
  // die termian la ejecucion
  die();
 }

  $delete_id = delete_by_id((int)$pasantia['id']);

  if($delete_id){
    $session->msg("s","Solicitud Pasantia eliminada");
    header("Location:pasantia.php");
    die();
  }

  $session->msg("d","Eliminación falló");
  header("Location:pasantia.php");
1
  • Me sirvió el código. Muchas gracias...
    – SBK22
    Commented el 19 may. 2022 a las 16:14

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.