1

Tenho um arquivo verifica.php que checa se a sessão do usuário foi iniciada após feita o login, o que acontece é o seguinte:

Existem duas URL's:

https://www.site.com.br/controle/usuario/

E dentro dela tem um link que leva para outra URL:

https://www.site.com.br/b2b/usuario/

No início de cada página tem incluso o código:

<?php
if( !session_id() ) {
    @session_start();
}
?>

O arquivo verifica.php é igual para os dois ambientes, porém ao abrir o link em uma target="_BLANK", a outra URL passa pelo arquivo verifica.php e a $_SESSION['usuario'] não é reconhecida e encaminha o usuário pra fora do ambiente, porém a aba de origem não perde a sessão:

<?php
if( !isset($_SESSION['usuario']) ) {

    @session_regenerate_id(true);
    unset($_SESSION['usuario']);
    @session_destroy();
    @session_start();
    echo "<script>window.alert('Acesso não autorizado [SECTION OFF]!');</script>";
    echo "<script>parent.location.href='home/';</script>";
    exit();

}
?>

Levando em consideração que a chamada da URL destino é feita tanto via tag quanto em Jquery .ajax();

O código de login segue abaixo:

<?php
include '../../_inc/db.conn.php';

define('IS_AJAX', isset($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest');
if(!IS_AJAX) {die('Acesso restrito');}

$pos = strpos($_SERVER['HTTP_REFERER'],getenv('HTTP_HOST'));
if($pos===false)
    die('Acesso restrito');

$emailuserlogin = $_POST['usuario_email'];
$emailuserlogin = strip_tags($emailuserlogin);
$emailuserlogin = addslashes($emailuserlogin);
$emailuserlogin = trim($emailuserlogin);
#
$passworduserlogin = $_POST['usuario_senha'];
$passworduserlogin = strip_tags($passworduserlogin);
$passworduserlogin = addslashes($passworduserlogin);
$passworduserlogin = trim($passworduserlogin);
$passworduserlogin = md5($passworduserlogin);

$usuarioSQL = "SELECT * FROM `usuario` WHERE `usuario_email` = '" . mysqli_real_escape_string($conn, $emailuserlogin) . "' AND `usuario_senha` = '" . mysqli_real_escape_string($conn, $passworduserlogin) . "' LIMIT 1;";

$usuarioQuery = mysqli_query($conn, $usuarioSQL) or mysqli_error($conn);

$contaUsuario = mysqli_num_rows($usuarioQuery);

if ( $contaUsuario == 1 ) {

    $usuario = mysqli_fetch_array($usuarioQuery);

    $_SESSION['usuario'] = array();

    foreach($usuario as $campo => $valor) {
        $_SESSION['usuario'][$campo] = $valor;
    }

    echo "<h5 class='alert alert-success text-black font-bold'>Logado! Redirecionando...</h5>";
    echo "<script>setTimeout('parent.location.href=\"home\"', 1400);</script>";
    exit();

}

if( $conta == 0 ) {
    echo "<h5 class='alert alert-danger text-black font-bold'><span class='text-bold'>Erro!</span> Login/Senha inválida.</h5>";
    exit();
}
?>
2
  • Tira o @ da frente do session_start, na verdade evite suprimir quase qualquer erro. É provavel que tenha algum output antes do session_start e por isto ele não inicia, como vc suprimiu o erro não é exibido.
    – Syzoth
    29/05/2018 às 13:58
  • Não tem um output, suprimo ele devido ao ambiente de produção, que agora precisei fazer uma manutenção, testei um window.alert em um count($_SESSION['usuario']); mas é exibido o valor 0;
    – ElvisP
    29/05/2018 às 13:59

1 Resposta 1

1

O session_start deve vir antes de qualquer uso da variável $_SESSION, você esta usando errado isto:

<?php
if( !isset($_SESSION['usuario']) ) {

    @session_regenerate_id(true);
    unset($_SESSION['usuario']);
    @session_destroy();
    @session_start();
    echo "<script>window.alert('Acesso não autorizado [SECTION OFF]!');</script>";
    echo "<script>parent.location.href='home/';</script>";
    exit();

}
?>

Fora que esse uso de arrobas para suprimir os erros estão lhe confundindo todo, era provavelmente para estar exibindo alguns erros por falhas no modo que vc configurou, problemas no teu script:

  • O session_start deve vir no começo
  • unset é desnecessário se o isset já afirma que $_SESSION['usuario'] não existe
  • não é necessário usar session_regenerate_id e session_destroy ao mesmo tempo, é o mesmo que vc trocar o ID de algo e depois deletar ele, é em vão.

Faça isto simplesmente:

<?php
session_start();

if ( !isset($_SESSION['usuario']) ) {
    echo "<script>window.alert('Acesso não autorizado [SECTION OFF]!');</script>";
    echo "<script>parent.location.href='home/';</script>";
    exit;
}

E no outro script faça isto:

<?php
if( !session_id() ) {
    session_start();
}
?>

Veja se ocorre algum erro de header.


Problemas no código de login

Esses problemas não afetam, mas são execuções descessarias:

$emailuserlogin = $_POST['admin_email'];
$emailuserlogin = strip_tags($emailuserlogin);
$emailuserlogin = addslashes($emailuserlogin);
$emailuserlogin = trim($emailuserlogin);

$passworduserlogin = $_POST['admin_senha'];
$passworduserlogin = strip_tags($passworduserlogin);
$passworduserlogin = addslashes($passworduserlogin);
$passworduserlogin = trim($passworduserlogin);
$passworduserlogin = md5($passworduserlogin);

Não é necessário usar strip_tags e addslashes se já esta usando mysqli_real_escape_string, dá pra reduzir bastante coisa.

Outra dica, sempre que possivel use include_once, só use include se for algo que puder ser incluido mais de uma vez, se não for o caso então use include_once

O problema que provavelmente esta afetando tudo é que você esta salvando o valor de mysqli_fetch_array e uma variavel, essa função não é igual ao fetchAll do PDO, ela é semelhante ao uso de yield, então isto não vai funcionar:

$usuario = mysqli_fetch_array($usuarioQuery);

$_SESSION['usuario'] = array();

foreach($usuario as $campo => $valor) {
    $_SESSION['usuario'][$campo] = $valor;
}

Na verdade como o seu código retorna apenas um item, então nem precisa de foreach ou de while, para simplificar você poderia fazer simplesmente o uso mysqli_fetch_assoc que vai pegar somente as colunas e seus valores.

Outro problema no seu script é que provavelmente falta o session_start (a não ser que você tenha adicionado em db.conn.php), adicione no começo session_start();

Faça exatamente isto, não mude em nada:

<?php
session_start();

include_once '../../_inc/db.conn.php';

define('IS_AJAX', isset($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest');
if(!IS_AJAX) {die('Acesso restrito');}

$pos = strpos($_SERVER['HTTP_REFERER'],getenv('HTTP_HOST'));
if($pos===false)
    die('Acesso restrito');

$emailuserlogin = $_POST['admin_email'];
$emailuserlogin = trim($emailuserlogin);

$passworduserlogin = $_POST['admin_senha'];
$passworduserlogin = trim($passworduserlogin);
$passworduserlogin = md5($passworduserlogin);

$usuarioSQL = "SELECT * FROM `usuario` WHERE `usuario_email` = '" . mysqli_real_escape_string($conn, $emailuserlogin) . "' AND `usuario_senha` = '" . mysqli_real_escape_string($conn, $passworduserlogin) . "' LIMIT 1;";

$usuarioQuery = mysqli_query($conn, $usuarioSQL) or mysqli_error($conn);

$contaUsuario = mysqli_num_rows($usuarioQuery);

if ( $contaUsuario == 1 ) {

    $_SESSION['usuario'] = mysqli_fetch_assoc($usuarioQuery);

    echo "<h5 class='alert alert-success text-black font-bold'>Logado! Redirecionando...</h5>";
    echo "<script>setTimeout('parent.location.href=\"home\"', 1400);</script>";
    exit;

} else {
    echo "<h5 class='alert alert-danger text-black font-bold'><span class='text-bold'>Erro!</span> Login/Senha inválida.</h5>";
    exit;
}
?>
8
  • @EliseuB. acabei de editar a resposta, leia ela com calma e tente entender o script.
    – Syzoth
    29/05/2018 às 15:06
  • Agora ficou show, menos e mais prático, valeu a pena, agora preciso descobrir o motivo de não reconhecer sessão de outro diretório em nova aba, do mais foi de grande valia.
    – ElvisP
    29/05/2018 às 15:23
  • E sim, em db.conn.php tem na primeira linha o session_start(); Gratidão Guilherme.
    – ElvisP
    29/05/2018 às 15:24
  • @EliseuB. no script que não esta funcionando a sessão faça isto var_dump($_SESSION); após o session_start e me diga o que aparece.
    – Syzoth
    29/05/2018 às 15:25
  • array(2) { ["phpmailer"]=> array(12) { ["host"]=> string(19) "cp-2.XXXXXXX.net" ["smtPauth"]=> string(4) "true" ["porta"]=> string(3) "587" ["smtpSecure"]=> string(4) "true" ["smtpAutoTls"]=> string(5) "false" ["username"]=> string(27) "[email protected]" ["password"]=> string(22) "XXXXXXXXXX" ["emailSender"]=> string(27) "[email protected]" ["emailFrom"]=> string(27) "[email protected]" ["fromName"]=> string(9) "CROSSLIFE" ["comCopia"]=> string(34) "[email protected]" ["charset"]=> string(5) "utf-8" } ------ Imprime valores de sessão definidas, mas as de login não.
    – ElvisP
    29/05/2018 às 15:36

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .