A pergunta é meio confusa, mas vou tentar explicar o melhor possível.
Tenho um servidor apache2 rodando em linux (Raspbian Stretch Lite) com o php7.0 e os mods necessários.
No server tem alguns arquivos, vou listá-los da forma mais minimalista possível,
Esse é responsável pelo formulário:
/index.php
<!DOCTYPE html>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html;charset=utf-8" />
<meta name='viewport' content='width=device-width, initial-scale=0.8, user-scalable=no' />
<link rel="stylesheet" href="css/aut.css">
<title>Autenticação</title>
</head>
<body>
<?php
session_start();
$erro = $_SESSION['msg'];
if (empty($erro)) {
}
else {
echo "<script type='text/javascript'>alert('$erro');</script>";
$_SESSION['msg'] = '';
}
?>
<div class="login-page">
<div class="form">
<form action="aut/resposta.php" method="post"class="login-form">
<input type="text" name="user" placeholder="Usuário"/>
<input type="password" name="senha" placeholder="Senha"/>
<button type="submit">Entrar</button>
</form>
</div>
</div>
</body>
</html>
Esse é responsável pela validação do formulário e criação de uma variável de sessão caso o usuário e senha estejam corretos, essa variável vem de um arquivo dentro do servidor. Além de redirecionar o usuário.
/aut/resposta.php
<html>
<body>
<?php
session_start();
if ($_POST["senha"] == "112233oi#" and $_POST["user"] == "Spineli") {
$arquivo = "/prog/php/escalator/cripto/key.txt";
$fp = fopen($arquivo, "r");
$key = fread($fp, filesize($arquivo));
fclose($fp);
$_SESSION['aut'] = $key;
header("Location: ../site.php");
} else {
$msg = 'Usuário ou senha incorretos!';
$_SESSION['msg'] = $msg;
header("Location: /index.php");
}
?>
</body>
</html>
E esse é o site para aonde o usuário é redirecionado
site.php
<!DOCTYPE html>
<html>
<head>
<title>Controle Remoto</title>
<meta http-equiv="Content-Type" content="text/html;charset=utf-8" />
<meta name='viewport' content='width=device-width, initial-scale=1, user-scalable=no' />
<link rel="stylesheet" href="css/site.css">
</head>
<body>
<?php
session_start();
$login1 = $_SESSION['aut'];
$erro = $_SESSION['msg'];
$arquivo = "/prog/php/escalator/cripto/key.txt";
$fp = fopen($arquivo, "r");
$login2 = fread($fp, filesize($arquivo));
fclose($fp);
if ($login1 !== $login2 or empty($login1)) {
header("Location: index.php");
}
else {
$_SESSION['aut'] = '';
}
if (empty($erro)) {
}
else {
echo "<script type='text/javascript'>alert('$erro');</script>";
$_SESSION['msg'] = '';
}
?>
<div class="bonito">
<div class="bembonito">
<div class="text1"><p>Controle Remoto</p></div>
<div class="text2"><p>Direção</p></div>
<a href="move/sobe.php" class="button4">Sobe</a>
<a href="move/desce.php" class="button4">Desce</a>
<div class="text2"><p>Bloqueio</p></div>
<a href="bloq/on.php" class="button4">Ligar</a>
<a href="bloq/off.php" class="button4">Desligar</a>
</form>
</div>
</div>
</body>
</html>
e então dentro de /move temos 2 arquivos o sobe.php desce.php, esses arquivos executam scripts para controlar reles, o código deles é bem parecido
<?php
session_start();
$msg = 'Subindo ou Descendo!';
$_SESSION['msg'] = $msg;
shell_exec('/root/script.sh');
?>
Um detalhe:
A variável _Session['msg'] é usada para exibir mensagens, seu funcionamento não interfere com o problema.
O problema:
Se alguém digitar 192.168.x.x/move/sobe.php ele passa pela segurança sem problema algum.
Tentativas:
Já tentei tudo que eu conhecia,
Tentei colocar php no onclick do botão, mas o php é executado antes de carregar o site, então ele executava a ação antes mesmo do usuário clicar no botão.
Também tentei usar um esquema de Session como fiz nas paginas resposta.php e site.php, mas o problema é que essa variável ficará aberta até que o usuário clique em um dos botões, e se ele nao clicar em nenhum, a variavel continua presente, assim, qualquer um pode acessar entrando em 192.168.x.x/move/sobe.php
Não sei o que fazer, estou disposto a fazer mudanças de todos os tipos sem limitações de linguagem e etc, só preciso que funcione no meu servidor.
Desde já agradeço.