[SOLUCIONADO] error, me activan los mensaje al validar la sesion

[aviweb2015]

saludos amigos me estoy migrando a PDO y he tratado de hacer este archivo para validar las sesiones de usuarios pero tengo un problema que se me activan las alertas de los mensajes al darle click al boton aceptar pero el problema es que el user y el pass estan bien, si estuviera mal puesto cualquiera de los dos datos tendría que dar la alerta a lo que correspondes pero no es así. no se si es que estoy haciendo algo mal o me falta algo pero ya o veo donde tengo el error, si podrían echarme una manito se los agradecería ah otra cosa y si es posible mejorar un poco mas la seguridad o estaría bien así, siempre es bien tomar consejos de otras personas

Código:

¡ Ups Aviso: Usuario Incorrecto !

¡ Ups Aviso: Contraseña incorrecta !

¡ Ups Aviso: Contraseña incorrecta !

¡ Ups Aviso: Contraseña incorrecta !

Código PHP:

<?php
 
include("conexion/conexion.php");
 
 
$user = $_POST['user'];   
$password = $_POST['password'];
 
 
$user_check = $DB_con->prepare('SELECT user FROM user WHERE user = :user LIMIT 1');
$user_check->bindParam(':user', $_POST['user']);
$user_check->execute();
if($user_check->rowCount() > 0){ ?>
 
 
<div class='col s12 card-panel blue lighten-2 center'>
<h5 class='black-text text-darken-2 center CONDENSED LIGHT5'>¡ Ups Aviso: Usuario Incorrecto !
</h5>
<?php header("refresh:5;login.php"); ?>
</div>
 
 
 
<?php 
 
        }
 
$hash_password= hash('sha256', $_POST['password']);
$sql = $DB_con->prepare('SELECT * FROM user WHERE user = :user AND 
password = :password AND idnivel = \'Administrador\'  LIMIT 1');
$sql->bindParam(':user', $_POST['user']);
$sql->bindParam(':password', $_POST['password']);
$sql->execute();
$sql->closeCursor();
if($sql->rowCount()){
 
 
session_start();
 
 
$_SESSION['id'] = $id;
$_SESSION['correo'] = $correo;
$_SESSION['idnivel'] = 'Administrador';
$_SESSION['Administrador'] = $clave;
$_SESSION['nombres'] = $row['nombres'] . ' ' . $row['apellidos'];
 
 
?>
 
 
<?php header("Location: admin/home.php"); ?>
 
 
<?php  } else {  ?>
 
 
<div class='col s12 card-panel blue lighten-2 center'>
<h5 class='black-text text-darken-2 center CONDENSED LIGHT5'>¡ Ups Aviso: Contraseña incorrecta !
</h5>
<?php header("refresh:5;login.php"); ?>
</div>
 
 
 
<?php
 
 
        }
 
$hash_password= hash('sha256', $_POST['password']);
$sql = $DB_con->prepare('SELECT * FROM user WHERE user = :user AND 
password = :password AND idnivel = \'Usuarios\'  LIMIT 1');
$sql->bindParam(':user', $_POST['user']);
$sql->bindParam(':password', $_POST['password']);
$sql->execute();
$sql->closeCursor();
if($sql->rowCount()){
 
 
session_start();
 
 
$_SESSION['id'] = $id;
$_SESSION['correo'] = $correo; //muestra el login
$_SESSION['idnivel'] = 'Secretarias'; //muestra el nivel del usuario
$_SESSION['Secretarias'] = $correo;
$_SESSION['nombres'] = $row['nombres'] . ' ' . $row['apellidos'];
$_SESSION['cedula'] = $row['cedula'];
 
 
?>
 
 
<?php header("Location: secretaria/home.php"); ?>
 
 
<?php  } else {  ?> 
 
 
<div class='col s12 card-panel blue lighten-2 center'>
<h5 class='black-text text-darken-2 center CONDENSED LIGHT5'>¡ Ups Aviso: Contraseña incorrecta !
</h5>
<?php header("refresh:5;login.php"); ?>
</div>
 
 
<?php
        
        }
 
$hash_password= hash('sha256', $_POST['password']);
$sql = $DB_con->prepare('SELECT * FROM user WHERE user = :user AND 
password = :password AND idnivel = \'Secretarias\'  LIMIT 1');
$sql->bindParam(':user', $_POST['user']);
$sql->bindParam(':password', $_POST['password']);
$sql->execute();
if($sql->rowCount()){
 
 
session_start();
 
 
$_SESSION['id'] = $id;
$_SESSION['correo'] = $correo;
$_SESSION['idnivel'] = 'Usuarios';
$_SESSION['Usuarios'] = $correo;
$_SESSION['nombre'] = $row['nombre'] . ' ' . $row['apellido'];
 
?>
 
 
<?php header("Location: usuarios/home.php"); ?>
 
 
<?php  } else {  ?>
 
 
<div class='col s12 card-panel blue lighten-2 center'>
<h5 class='black-text text-darken-2 center CONDENSED LIGHT5'>¡ Ups Aviso: Contraseña incorrecta !
</h5>
<?php header("refresh:5;login.php"); ?>
</div>
 
 
<?php
}
 
$sql = null;
$DB_con = null;
 
?>
 

[xerifandtomas]

Pon un exit justo después de cada redireccion, para que no se ejecute el resto del código.

Igualmente fijándome un poco más en el código, no veo la necesidad de realizar 3 pruguntas a la misma tabla una por cada tipo de usuario, si tuviésemos 10 tipos/niveles, hacemos 10 consultas? Deberías de hacer una única consulta, quitando del where idnivel de la consulta, luego si el usuario y la contraseña son correctas, hace un switch o if/elseif con el idnivel devuelto para Redireccionar al sitio deseado, ahorras un montón de código duplicado y en caso de agregar más tipos/niveles solo tienes que agregar una condición más.


Sea como sea ten en cuenta que header es una cabecera y debe ser enviada antes de cualquier otra cosa al navegador, por lo que en tu código lo tienes mal.
Un ejemplo:

Esto esta mal

Código PHP:

 <div class='col s12 card-panel blue lighten-2 center'>
<h5 class='black-text text-darken-2 center CONDENSED LIGHT5'>¡ Ups Aviso: Usuario Incorrecto !
</h5>
<?php header("refresh:5;login.php"); ?>
</div>  

Esto sería correcto:

Código PHP:

  <?php header("refresh:5;login.php"); ?>
<div class='col s12 card-panel blue lighten-2 center'>
<h5 class='black-text text-darken-2 center CONDENSED LIGHT5'>¡ Ups Aviso: Usuario Incorrecto !
</h5>
</div>  

[aviweb2015]

gracias ahora si trabaja bien,

Código PHP:

<?php header("refresh:5;login.php"); 
exit;
?>
 

pero pero hay un problema como estoy usando

Código:

$hash_password= hash('sha256', $_POST['password']);

cuando trato de iniciar sesion con la contraseña normal ejemplo

Código:

usuario: user 
pass: Aviweb2016-

me dice que contraseña incorrecta pero si le ingreso la generada por el hash que se guardad en la bd que seria:

Código:

946eb447476dcb1bc7a30d8c51dc70d8d9c2ddcddb2a6c2290964073a9613af6

si entra perfectamente como si no estuviera descifrando el password

[rbczgz]

Hola aviweb2015,

Eso es porque la comparación la estás haciendo directamente sin encriptar la contraseña que recibes del formulario antes de esto.

Código PHP:

$sql->bindParam(':password', hash('sha256', $_POST['password']));
 

Creo que sería algo así...

[aviweb2015]

Iniciado por xerifandtomas

Igualmente fijándome un poco más en el código, no veo la necesidad de realizar 3 pruguntas a la misma tabla una por cada tipo de usuario, si tuviésemos 10 tipos/niveles, hacemos 10 consultas? Deberías de hacer una única consulta, quitando del where idnivel de la consulta, luego si el usuario y la contraseña son correctas, hace un switch o if/elseif con el idnivel devuelto para Redireccionar al sitio deseado, ahorras un montón de código duplicado y en caso de agregar más tipos/niveles solo tienes que agregar una condición más.

esto si es verdad que no lo hecho me podrás dar un ejemplo de como debería aplicarlo, para así ahorrarme todo ese montón de codigo...

[aviweb2015]

Iniciado por rbczgz

Hola aviweb2015,

Eso es porque la comparación la estás haciendo directamente sin encriptar la contraseña que recibes del formulario antes de esto.

Código PHP:

$sql->bindParam(':password', hash('sha256', $_POST['password']));
 

venga tio gracias me ha servido jejejeje solo me faltaría un ejemplo de xerifandtomas a ver como puedo reducir mas mi código y mejorarlo mas

[rbczgz]

Hola aviweb2015,

Creo que xerifandtomas se refiere a esto, en lugar de así:

Código PHP:

$sql = $DB_con->prepare('SELECT * FROM user WHERE user = :user AND 
password = :password AND idnivel = \'Administrador\'  LIMIT 1');
 

Código PHP:

$sql = $DB_con->prepare('SELECT * FROM user WHERE user = :user AND 
password = :password LIMIT 1');
 

De esa forma, luego compruebas el nivel recibido con el que debe tener y rediriges a donde te convenga, mediante un switch o if/elseif:

Código PHP:

switch ($idnivel) {
 
      case "Administrador":
            header ("Location: pagina_de_administrador");
      break;
      //El resto de código que proceda...
 

Espero que te sirva...

[xerifandtomas]

Básicamente lo que te ha comentado el compañero rbczgz.

Estoy fuera de casa pero cuando llege si quieres hacemos un ejemplo completo.

[aviweb2015]

ok espero entonces y gracias por responder

[xerifandtomas]

Buenas noches.

Te dejo el ejemplo por aquí, obviamente no lo he probado y puede que contenga algún error, pero creo que te puedes hacer una idea.

Hay algunas variables que no se a que hacen referencia y simplemente las he comentado y otras que he supuesto que extraes de la base de datos pero no estoy seguro ya que en el código que pasaste no estaban definidas en ningún lugar.

Espero que te sea de ayuda.

Un saludo.

Código PHP:

  <?php
include("conexion/conexion.php");

// Preparamos la consulta y la ejecutamos 
$sql = $DB_con->prepare('SELECT * FROM user WHERE user = :user AND password = :password LIMIT 1');
$sql->bindParam(':user', $_POST['user']);
$sql->bindParam(':password', hash('sha256', $_POST['password']));
$sql->execute();
$sql->closeCursor();
// Comprobamos si ha devuelto algun registro
if($sql->rowCount()>0){
    // Inicimaos sesion
    session_start();
    // Recuperamos los datos de la consulta 
    $row = $sql->fetch(PDO::FETCH_ASSOC);
    //definimos las variables necesarias para la sesion
    $_SESSION['id'] = $row['id'];
    $_SESSION['correo'] = $row['correo'];
    $_SESSION['idnivel'] = $row['idnivel'];
    $_SESSION['nombres'] = $row['nombres'].' ' .$row['apellidos'];
    $_SESSION['cedula'] = $row['cedula'];
    // Redirigimos la pagina segun idnivel
    switch ($_SESSION['idnivel']) {
        case 'Administrador':
            header("Location: admin/home.php");
            exit;
            break;
        case 'Usuarios':
            header("Location: usuarios/home.php");
            exit;
            break;
        case 'Secretarias':
            header("Location: secretaria/home.php");
            exit;
            break;
        // Definimos que hacemos en caso de no detectar ningun idnivel valido
        default:
            header("refresh:5;login.php");
            ?>
            <div class='col s12 card-panel blue lighten-2 center'>
            <h5 class='black-text text-darken-2 center CONDENSED LIGHT5'>¡ No se pudo determinar el nivel del usuario !</h5>
            </div>
            <?php
            session_destroy();
            exit;
            break;
    }
    /* Estas 3 variables no se a que hacen referencia ni de donde salen */
    /*
    $_SESSION['Administrador'] = $clave;
    $_SESSION['Secretarias'] = $correo;
    $_SESSION['Usuarios'] = $correo;
    */
}
// Definimos que hacemos en caso de que la consulta no haya devuelto ningun resultado
// Es decir en caso de que la contraseña y el usuario sean incorrectos
else{
    header("refresh:5;login.php"); 
    ?>
    <div class='col s12 card-panel blue lighten-2 center'>
    <h5 class='black-text text-darken-2 center CONDENSED LIGHT5'>¡ Ups Aviso: Contraseña o usuario incorrectos !
    </h5>
    </div> 
    <?php
    exit;
}   

:

[aviweb2015]

gracias por tu ejemplo lo he probado y el único error que me da es que ¡ No se pudo determinar el nivel del usuario !, pero en cuanto lo demás tenias razón se redujo mucho el código jejeje gracias

[xerifandtomas]

He utilizado los nombres que aparentemente estabas utilizando para determinar el idnivel, pero los casos del switch deben de coincidir con lo que tengas en la base de datos.

[aviweb2015]

si eso son los que tengo registrados en la tabla user
tengo estos datos: id,user, password y idnivel

y en mi tabla nivel tengo: id, nivel y ambas relacionadas

[xerifandtomas]

Supongo que ya lo has solucionado, pero por si acaso:

Código PHP:

      $_SESSION['idnivel'] = $row['idnivel']; //aquí asignando recuperando el id nivel de la base de datos 
   

Después

Código PHP:

  // aquí vamos a comparar lo que nos ha devuelto la base de datos como idnivel
    switch ($_SESSION['idnivel']) {
        case 'Administrador': // Lo que contiene idnivel debe coincidir con los casos del switch 
            header("Location: admin/home.php");
            exit;
            break; 
   

Nose muy bien lo que te devuelve idnivel si es un String o un Int, si es una cadena debes tener en cuenta que el switch es case-sensitive pero puedes utilizar por ejemplo strtolower() para convertir todo a minúsculas antes, y poner todos los caso en minúsculas también. Entiendo que idnivel contiene una cadena.

Código PHP:

      switch (strtolower($_SESSION['idnivel'])) {//convertimos idnivel a minúsculas para comparar
        case 'administrador': // cambiamos los case a minúsculas también 
            header("Location: admin/home.php");
            exit;
            break;