Recomendación de seguridad en aplicación PHP

[Borsetto]

Hola a todos,

tengo una duda en principio simple. Tengo un programa de gestión de una biblioteca muy sencillo. Existen dos roles, el del bibliotecario y el del usuario. Cuando un usuario hace click en el enlace correspondiente le aparecen sus préstamos. En cambio, el bibliotecario tiene acceso a los préstamos de todos los usuarios. Tal y como lo tengo, cuando el bibliotecario desea consultar los préstamos de un usuario, escribe las iniciales del usuario y se carga el panel de préstamos.

El problema reside en que, al realizarse la petición por el método GET, en la url aparece

Código PHP:

  biblioteca.php?usuario=xxx 
   

donde xxx es el identificador del usuario. Así pues, cualquiera que abra el navegador y se pueda imaginar que el campo se llama "usuario", puede escribirlo en la barra de navegación y acceder al panel de otro usuario.

¿Qué me recomendáis hacer? ¿Cambiar de GET a POST? ¿Introducir variables de sesión? ¿Existe algún otro método?

Muchísimas gracias!!

[Hidek1]

get o post.. el metodo esta mal planteado de todas formas
debes tener una capa de seguridad en donde preguntes si el usuario es usuario normal o tiene privilegios de administrador
para eso se usan variables de session

saludos!

[Borsetto]

Gracias Hidek, entendido.

Supongo entonces, que la cosa debería funcionar así: cuando un usuario hace login en la aplicación, guardo su identificador en una variable de sesión, y a la hora de acceder al panel de otro usuario, compruebo que ese identificador coincida con el del bibliotecario. Si ha introducido bien su nombre y contraseña, prosigue con la aplicación; en caso contrario, se le informa de que no tiene privilegios para acceder a la página.

De esta forma, si trata de entrar directamente por la url, le llevará directamente a la página de error.

¿Me he enterado más o menos? ;)

Muchas gracias

[Hidek1]

claro es eso.. aunque si usas variables de session puedes guardar directamente el grado que tendria la persona, ya que las sessiones se almacenan en el servidor y no en el cliente...

Código PHP:

$_SESSION["permisos"] = "Administrador";
if($_SESSION["permisos"] == "Administrador"){
 // mostrar
}else{
 // permiso denegado
}
 

saludos!

[Borsetto]

Genial, eso haré entonces.

Muchísimas gracias!! (en cuanto tenga oportunidad te doy karma ;))