Login com nivel de acesso

[groudon900 0]

Olá preciso criar um login com niveis de acesso, por enquanto o login acessa normal, mas ao ter acess_level = 1 eu queria que ele fosse redirecionado para o dashboard

 

 

meu codigo do login!

 

<?php
session_start();
include('conexao.php');

if(empty($_POST['usuario']) || empty($_POST['senha'])) {
	header('Location: login.php');
	exit();
}

$usuario = mysqli_real_escape_string($conexao, $_POST['usuario']);
$senha = mysqli_real_escape_string($conexao, $_POST['senha']);

$query = "select usuario from usuario where usuario = '{$usuario}' and senha = md5('{$senha}')";

$result = mysqli_query($conexao, $query);

$row = mysqli_num_rows($result);

if($row == 1) {
	$_SESSION['usuario'] = $usuario;
	header('Location: index.php');
	exit();
} else {
	$_SESSION['nao_autenticado'] = true;
	header('Location: ERROR.php');
	exit();
}

 

[Omar~ 87]

Primeiramente sugiro o uso de PDO ao invés do mysqli.

Segundo, faça um tratamento melhor (mais refinado) do que entra em sua aplicação isso aqui não lhe traz segurança alguma, dar para quebrar o php e exibir o código em tela expondo seu código fonte (fora o XSS e sql-inject):

23 horas atrás, groudon900 disse:

$usuario = mysqli_real_escape_string($conexao, $_POST['usuario']);

$senha = mysqli_real_escape_string($conexao, $_POST['senha']);

 

Terceiro não use md5 use password_hash para salvar senha de usuário e password_verify para comparação.

 

Sobre sua questão é simples:

A tabela de usuário possuirá uma coluna (INT) para o nível de acesso, quanto maior o número, maior o nível de acesso do usuário.

Ao logar irá fazer a leitura da tabela normalmente, com o resultado obtido da query você pode está fazendo:

$_SESSION['acesso'] = $valor_da_coluna_de_nivel_obtido_da_query;
swi
if (switch($_SESSION['acesso'])) {
  case 1:
  // O que será feito se o valor for 1?
  break;
  case 2: case 3:
  // O que será feito se o valor for 2 e 3?
  break;
  default:
  // O que será feito se o valor não for 1, 2 ou 3?
  break;
}

O por aí vai nos demais locais da aplicação basta apenas verificar o valor da sessão de acesso para liberar conteúdo para o usuário logado.

 

 

Citar

DICA**

Quando em sua aplicação houver dados mais sensíveis de acesso por exemplo administrativo, prefira usar uma cessão específica para esses tipos de usuários.

Porque uma SESSION pode ser falsificada então qualquer um pode entrar como administrador em sua aplicação.

Exemplo:

if ($valor_do_nivel_na_coluna >= 5) { // Supondo que 5 seja o administrador
  $_SESSION['acesso_b'] = true; // Uma sessão exclusíva de usuário NV.5 que pode confundir quem tentar hackear sua aplicação 
}