1

Implemente un sistema de sesiones para proteger mis archivos php, este lo incluyo en cada archivo php que muestra un menu.

<?php
   // CONECTANDO AL SISTEMA SEGUN TIPO DE USUARIO//
   if (isset($_SESSION['conectado']) && $_SESSION['conectado'] == true && $_SESSION['nivel']==0) {
   // ------------------------ //
   } else {
   // MENSAJE DE ACCESO NEGADO //
   echo ('<script>alert("No tiene permisos suficientes para acceder a esta parte del sistema");</script>');
   echo ("<script>window.location = 'index.php';</script>");
   exit;
   // ------------------------ //
   }
   // ------------------------ //
   $now = time();
   if($now > $_SESSION['expira']) {
   //DESTRUYO LA SESION, ANTES DE SACARLO DEL SISTEMA//
   session_destroy();
   // MENSAJE DE SESIÓN EXPIRADA //
   echo ('<script>alert("Su sesión ha expirado");</script>');
   echo ("<script>window.location = 'index.php';</script>");
   exit;
   }
   // ------------------------ //
?>

Ocurre que tambien poseo otro tipo de archivo llamado acciones, estos son todas las acciones que ejecutan lo php: insertar, modificar, eliminar, consultar para evitar que la gente entre a ellos agregue:

if(!isset($_POST['submit'])){
  }
echo ('<script>alert("No tiene permisos suficientes para acceder a esta parte del sistema");</script>');
echo ("<script>window.location = 'index.php';</script>");
exit;

y por ultimo tengo FUNCIONES, los cuales se encargan de llenar selects, checkbox, una que otra funcion que muestra los datos del usuarios y funciones que se activan con $.post de JSON.

El problema es que no se como proteger estos archivos y la persona podria acceder a ellos (aunque no todos muestran informacion importante)

  1. *si uso el metodo del ISSET me dan error pues no hay submit y no los incluye al sistema.

  2. *si incluyo el metodo de la session me da error porque debo iniciar la session antes , le escribo el session_start y me dice que ya han enviado el header (antes en el menu donde esta incluido este archivo de funcion

Que puedo hacer para evitar accedan a estos archivos?

2
  • Puedes crear un menú dinámico, que lo puedas controlar desde una tabla. De acuerdo al tipo de usuario, tenga los permisos. Si gustas te puedo pasar unos ejemplos. Commented el 22 mar. 2017 a las 22:49
  • Claro pasamos @YoelRodriguez
    – Dev 200
    Commented el 23 mar. 2017 a las 1:15

2 respuestas 2

1

Aquí te paso el ejemplo, espero que te sirva. Básicamente lo que tienes que hacer es crear dos tablas, una para el menú y la segunda para los permisos. La tabla de permisos si la tienes que relacionar con la de usuario.

Estructura de la tabla menú:

CREATE TABLE IF NOT EXISTS menu (
  id int(15) NOT NULL AUTO_INCREMENT,
  nombre varchar(100) NOT NULL,
  link varchar(100) NOT NULL,
  orden int(2) NOT NULL,
  grupo int(2) NOT NULL,
  PRIMARY KEY (id),
  KEY id (id) USING BTREE
) ENGINE=InnoDB AUTO_INCREMENT=20 DEFAULT CHARSET=utf8;

tabla permiso:

CREATE TABLE IF NOT EXISTS permisos (
  id int(15) NOT NULL AUTO_INCREMENT,
  id_usaurio int(15) NOT NULL,
  id_menu int(15) NOT NULL,
  nuevo int(1) NOT NULL,
  editar int(1) NOT NULL,
  mostrar int(1) NOT NULL,
  borrar int(1) NOT NULL,
  pdf int(1) NOT NULL,
  excel int(1) NOT NULL,
  PRIMARY KEY (id),
  KEY id_menu (id_menu) USING BTREE,
  KEY id (id) USING BTREE,
  KEY permisos_ibfk_1 (id_usaurio) USING BTREE,
  CONSTRAINT permisos_ibfk_2 FOREIGN KEY (id_menu) REFERENCES menu (id) ON DELETE CASCADE ON UPDATE NO ACTION,
  CONSTRAINT permisos_ibfk_3 FOREIGN KEY (id_usaurio) REFERENCES agent (id) ON DELETE CASCADE ON UPDATE NO ACTION
) ENGINE=InnoDB AUTO_INCREMENT=1696 DEFAULT CHARSET=utf8;

En la vista:

       <ul class="nav">
        <li class="divider-vertical"></li>
          <?php 
          $data_gru = $rol->get_menu_grupo($_SESSION["credentials"]["userType"],$_SESSION["credentials"]["userId"]);
          foreach($data_gru as $valueg){
           ?>
          <li class="dropdown">
            <a data-toggle="dropdown" class="dropdown-toggle" href="#"><?php echo $valueg['nombre'] ?><b class="caret"></b></a>
            <ul class="dropdown-menu">
            <?php 
                $data_men = $rol->get_menu_link($_SESSION["credentials"]["userType"],$_SESSION["credentials"]["userId"],$valueg['grupo']);
                foreach($data_men as $value){
             ?>
              <li><a href="index.php?c=<?php echo $value['link']; ?>"><?php echo $value['nombre']; ?></a></li>
            <?php } ?>
            </ul>

En el modelo:

//Función donde extraemos el número de grupos del menú.
public function get_menu_grupo($tipo, $usuario){
    if($tipo == 1){
        $query = $this->db->query("SELECT menu.id, menu.nombre, menu.grupo FROM menu WHERE menu.link = '' Order By  menu.grupo ASC");   
    }else{
        $query = $this->db->query("SELECT menu.id, menu.nombre, menu.grupo FROM menu INNER JOIN permisos ON menu.id = permisos.id_menu WHERE menu.link = '' AND permisos.id_usaurio = '".$usuario."' GROUP BY menu.nombre Order By  menu.grupo ASC");
    }
    $this->aplicacion = '';
    while($list = mysqli_fetch_assoc($query)){
        $this->aplicacion[] = array_merge(array('nombre'=> $list['nombre']),array('grupo'=> $list['grupo']),array('id'=> $list['id']));
    }
    return $this->aplicacion;
}   
1

Utilice las siguientes medidas, para proteger mi sistema sin tener que cambiar la base de datos.

SESIONES:

<?php   
       if ((isset($_SESSION['conectado']) && ($_SESSION['conectado'] == true) && ($_SESSION['nivel']==0) && ($_SESSION['nivel']==1)))
       {
    } else {
   echo ('<script>alert("No tiene permisos suficientes para acceder a esta parte del sistema");</script>');
   echo ("<script>window.location = 'index.php';</script>");
   exit;
   }
   $now = time();
   if($now > $_SESSION['expira']) {
   session_destroy();
   echo ('<script>alert("Su sesi\u00f3n ha expirado");</script>');
   echo ("<script>window.location = 'index.php';</script>");
   exit;
   }
   ?>

MENUS

<?php
   session_start();
   include_once 'sesion_todos.php';
?>

ACCIONES

 <?php
    $temp = $_POST["temp"];

    if ($temp == 1)
      {

      }
      else
      {
      echo ('<script>alert("No tiene permisos suficientes para acceder a esta parte del sistema");</script>');
      echo ("<script>window.location = 'index.php';</script>");
      }

    ?>

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.