[php+mysql]login area protetta ma senza inganni

[lume70]

Ho creato un form di login con sessioni che una volta loggato carica la pagina dell'utente

<?php  
$utente=$login->get_username(); 
header("location:$utente.php");  
?>

fin qui tutto ok.
Però se l'utente tizio che effettua il login e carica la sua pagina tizio.php può (se è scaltro) accedere anche alla pagina caio digitando .../caio.php perchè il controllo avviene sulla sessione e non sull'utente.

Avete qualche info da suggerirmi per ovviare a questo inghippo?

Grazie

[boots]

Ma perchè hai fatto in quel modo ? non era più semplice fare una generica pagina utente.php e cambiarne il contenuto in base all'utente loggato?

L'unico modo adesso è quello di controllare nella pagina caio.php se l'utente è caio

// caio.php
if($_SESSION['username'] != "caio")    // Se hai registrato l'utente in session
    header("..."); //redirect su una pagina di accesso non consentito o sulla pagina dell' utente 

In alternativa potresti fare un controllo generico se e soltanto se lo username è lo stesso del nome della pagina(username caio => caio.php). Come, però, puoi notare questo lo puoi fare solo sulla pagina personale dell'utente

$file = $_SERVER["SCRIPT_NAME"];
$break = explode('/', $file);
$pfile = $break[count($break) - 1]; 

if($_SESSION['username'].".php" != $pfile)    // Se hai registrato l'utente in session
    header("..."); 

Resta il fatto che il tuo è un approccio un po' strano ...

[lume70]

Originariamente inviato da boots
Ma perchè hai fatto in quel modo ? non era più semplice fare una generica pagina utente.php e cambiarne il contenuto in base all'utente loggato?

Eh hai ragione, però non sono capace di fare un controllo e cambiare il contenuto in base all'utente loggato.

[lume70]

Ho due utenti, pluto e admin, e voglio utilizzare il tuo primo script

// admin.php 
if($_SESSION['username'] != "admin")    
// Se hai registrato l'utente in session     
header("location:accesso_negato.php"); //redirect su una pagina di accesso non consentito o sulla pagina dell' utente

ma nn so come registrare l'utente in $_SESSION

P.S. sono alle prime armi...

[boots]

Originariamente inviato da lume70
Ho creato un form di login con sessioni che una volta loggato carica la pagina dell'utente

<?php  
$utente=$login->get_username(); 
header("location:$utente.php");  
?>

...
Grazie

Non hai detto che hai usato la sessione?

Comunque,nella pagina di login, dopo il post fai la query sul db per vedere se l'utente è registrato, giusto? quindi farai qualcosa del tipo

session_start();
if(isset($_POST['username'] && isset($_POST['password'])){
    $uname = $_POST['username'];
    $pwd = $_POST['password'];
    $query = "SELECT * FROM users WHERE username='$uname' AND password='$pwd' ";
    $res = mysql_query($query, $conn);
    if($row = mysql_fetch_array($res)){
         // Login ok
         $_SESSION['user'] = array();
         $_SESSION['user']['username'] = $row['username'];
         // aggiungi tutti i campi che ritieni necessario ricordare in  sessione
    }else{
         // Login fallito
    }

}