3

Eu criei um pequeno código de segurança para meu sistema de login, para evitar que pessoas compiem o link do painel administrativo e colassem e conseguissem acessar o mesmo.

    <?php
ob_start();
if(($_SESSION['usuarioNome'] == "") || $_SESSION['usuarioNivelAcesso'] == ""){
    $_SESSION['loginErro'] = "Área restrita para usuários cadastrados";
    header("Location: login.php");
}
?>

Esse trecho acima é o que vê se a pessoa copiou o link ou acessou normal. Porém eu copio e colo o link e acesso normalmente a página administrativa.

Alguma solução?

6
  • Se você copia e cola no mesmo navegador, com os mesmos cookies, você terá acesso. Segundo que é melhor usar !isset(...) do que == "", evita erros de "Undefined variable". Se você permitir que a sessão seja passada por parametro de URL você pode copiar o identificador da sessão presente no URL, desligue isso usando session.use_trans_sid para 0 e o session.use_only_cookies para 1.
    – Inkeliz
    13/07/2017 às 13:01
  • Pedro, tem um detalhe que queria saber antes de tirar sua dúvida: quando você diz que copia e cola o link e consegue acessar, você está fazendo isso em outro navegador? Caso esteja fazendo em um mesmo navegador, é normal a sessão permanecer ativa. Tenta acessar copiando e colando o link por outra página. 13/07/2017 às 13:04
  • Coloca esse código antes do seu IF para ver o porque seu código está dando errado: var_dump($_SESSION['usuarioNome'], $_SESSION['usuarioNivelAcesso']) 13/07/2017 às 13:07
  • Fabiano, estou fazendo no mesmo navegador, vou fazer o que você falou agora 13/07/2017 às 13:17
  • 1
    @PedroRibeiro isso então responde a tua pergunta, afinal, como podes verificar no var_dump(), as variáveis não estão vazias como você esperava. 13/07/2017 às 13:30

1 Resposta 1

6

Esse código não vai funcionar se você já tiver logado e preenchido esses valores na sessão. A sessão existe no servidor, independente do que você faz no navegador, e só morre após certo tempo sem atividade do usuário ou quando é limpa explicitamente.

Se você quer que a pessoa não consiga acessar colando um link, você precisa fazer a seguinte sequência de passos:

  • Gere um valor de sessão (com nome diferente das que guardam nome de usuário e nível de acesso, no seu caso) em qualquer outra página. Indique pelo nome que ela é um token de acesso ou algo do tipo;
  • Na página do admin, veja se esse valor na sessão específico está preenchido. Se estiver, permita o acesso, senão, redirecione para outra página;
  • Finalmente, ainda na página do admin, após a verificação acima, apague o valor. Isso faz com que o próximo acesso à página de admin seja redirecionado. Agora você só poderá acessar a página de admin após acessar a página geradora de token novamente.

Edição para adicionar código

Em uma página qualquer, que não seja a do painel, adicione a seguinte lógica:

$_SESSION['autorizacaoPainel'] = true;

Na página do painel, adicione a seguinte lógica:

if ($_SESSION['autorizacaoPainel']) {
    unset($_SESSION['autorizacaoPainel']);
} else {
    header("Location: login.php");
}

Assim, você sempre precisará acessar a página que preenche 'autorizacaoPainel' antes de qualquer acesso ao painal.

5
  • Renan, na página principal do formulário eu coloquei um unset. assim: <?php unset($_SESSION['usuarioNome'], $_SESSION['usuarioNivelAcesso']); ?> para destruir a sessão atual, mas acho que não é assim... pq continua dando errado 13/07/2017 às 13:17
  • Isso não destroi a sessão, mas apaga esses valore dela. No entanto, se o painel de admin ficar em outra página, você jamais terá certeza se essas variáveis de sessão tiveram seus valores apagados ou não. 13/07/2017 às 13:21
  • Eu não entendi como fazer essa questão do token, entendi na teoria, mas nao sei como aplicar. Você tem algum material para me ajudar? 13/07/2017 às 16:18
  • @PedroRibeiro adicionei código à resposta. 13/07/2017 às 17:55
  • Continua dando para logar, copiando e colando o link 13/07/2017 às 18:53

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .