2

Quero que um utilizador quando estiver conectado, não deixa ninguem se conectar ao sistema com o mesmo login e password. Ou seja se o admin estiver conectado, e abrir outro browser e abrir com o mesmo utilizador admin, não me deixar. Criei um campo na tabela para guardar se está ou não. Esta é a tabela, com o novo campo conection para guardar se esta login ou logout.

if(!file_exists($dir.$base)) {

 $base_hndl =   new SQLite3($dir.$base);
 $requete = "CREATE TABLE 'users' (
 id INTEGER NOT NULL PRIMARY KEY AUTOINCREMENT,
 login TEXT NOT NULL,
 password TEXT NOT NULL,
 nom TEXT  NULL,
 prenom TEXT NULL,
 actif INTEGER NOT NULL,
 societe TEXT NULL,
 langue TEXT NULL,
 conection TEXT NULL
 )";
 $resultat = $base_hndl->exec($requete);}       

E a variável login

$login=$_SESSION['login'];
6
  • E qual é o problema?
    – Beterraba
    7/11/2014 às 12:07
  • Queria guardar dentro da tabela, se o utilizador está conectado ou nao. Para dps proibir a entrada, ligarem se com o mesmo utilizador se este estiver no sistema (login).
    – akm
    7/11/2014 às 12:10
  • é basicamente isso, você cria um campo para armazenar se está logado ou não, ao logar, você verifica se o campo está "true", caso não esteja você cria a sessão, e troca o valor desse campo, caso esteja, você manda uma mensagem que esse usuário já está logado no sistema, e é importante lembrar de voltar o valor desse campo para "false", quando a sessão é destruída. 7/11/2014 às 12:27
  • O conceito você já tem, te faltou apenas condicionar a criação da variável de sessão com esse campo que você está trazendo ao consultar a existência do usuário (assim espero). 7/11/2014 às 13:38
  • 2
    @EnzoTiezzi e se o utilizador não fizer logou e a sessão expirar nunca mais pode fazer login?
    – Jorge B.
    7/11/2014 às 15:15

2 Respostas 2

9

Você deveria armazenar o horário da última ação/navegação do usuário e o IP.

Assim você poderia verificar com o tempo que sua sessão permanece viva e permitir somente o acesso de quem esta logado naquele momento e ainda informar caso exista uma tentativa de login em outro local, que o usuário já está conectado em outro computador e fornecer até mesmo o IP.

Exemplo, se sua sessão fica viva por 30 minutos, quando o usuário entrar no sistema, ou navegar entre as páginas, fizer alguma ação, você salva o horário no banco de dados e o IP.

| Horario          | Endereco de IP         |
|------------------|------------------------|
| 2014-11-07 08:20 | 200.100.50.10          |

Quando for feito o login ou a mudança de página ou qualquer ação no sistema, você atualiza esses dados, sempre obedecendo o tempo de expiração da sessão.

Se IP do novo acesso = IP do último acesso, o acesso deve ser permitido, pois é o mesmo. Pega o novo horário e atualiza:

| Horario          | Endereco de IP         |
|------------------|------------------------|
| 2014-11-07 08:40 | 200.100.50.10          |

Se for IP do novo acesso diferente do IP do último acesso, então verifica os horários: horário do novo acesso deve ser maior que o horário do último acesso + tempo da vida da sessão.

Ex.:

Novo Acesso            Ultimo Acesso      Tempo Vida Sessao
2014-11-07 08:55       2014-11-07 08:40 + 30
2014-11-07 08:55       2014-11-07 09:10

como 08:55 é anterior a 09:10 (considerando as datas claro) significa que tem outra sessão ativa e o usuário não pode fazer nenhuma ação, incluindo login.

Vamos supor agora que ele tentou fazer o acesso as 09:15

Novo Acesso            Ultimo Acesso      Tempo Vida Sessao
2014-11-07 09:15       2014-11-07 08:40 + 30
2014-11-07 09:15       2014-11-07 09:10

O novo acesso foi feito depois da expiração da sessão ativa do outro usuário então ele pode logar/fazer ações e o banco é atualizado.

| Horario          | Endereco de IP         |
|------------------|------------------------|
| 2014-11-07 09:15 | 100.200.50.40          |

Quando o usuário efetuar o logout, esses campos seriam setados pra null ou, melhor do que isso para facilitar a comparação, para valores default onde fosse possível o acesso.

Ex. no caso de logout:

| Horario          | Endereco de IP         |
|------------------|------------------------|
| null             | null                   |

Com valores default (facilitando a comparação em qualquer situação, evitando exceptions na programação):

| Horario          | Endereco de IP         |
|------------------|------------------------|
| 2000-01-01 00:00 | 0.0.0.0                |

No caso do usuário logado perder a conexão e seu IP ser modificado ele perde o acesso e só consegue acessar novamente quando a sessão dele expirar, ou seja, no meu exemplo, 30 minutos. Para isso, o ideal é avaliar o tempo de sessão que será utilizado, fazendo um equilíbrio entre o tempo que o usuário precisa ter entre uma ação e outra até a sessão expirar e o tempo que o usuário pode esperar caso isso aconteça (mudança do IP e ter necessidade de aguardar a sessão expirar). Acredita-se que sessões curtas são mais seguras. Pode-se aplicar 5 ou 10 minutos para encurtar esse tempo e evitar que o usuário permanece logado caso saia e não efetue o logout.

Pode-se também, para evitar isso, utilizar uma chave gerada na etapa de login e armazena-la em cookie, substituindo a identificação do IP pela chave gerada, contornando assim essa parte do IP. Lembrando que cookies são editáveis, com algumas manobras seria possível acessar de mais de um local. Prefiro a abordagem usando o IP.

Essa é uma das formas de se fazer, das diversas formas possíveis de implementação.

1
  • 1
    Gostei da resposta, talvez seja de mais para o caso dele que parece ser mais simples, mas é mais robusta. 7/11/2014 às 13:37
2

O conceito da forma mais básica de implementação você já tem, ou seja, criar um campo na tabela, mesmo que a tabela errada, que servirá como condicional para criação da variável de sessão.

Te faltou apenas criar essa condição:

// Consulta se o usuário existe e traz os dados

if( $row['conection'] != '1' ) 
{
    $_SESSION['login'] = $login;   
} 
else 
{
    die( 'Acesso não autorizado. Usuário em uso.' );
}

Lembre-se de atualizar esse campo de volta para zero no logout, caso contrário o usuário nunca mais poderá se re-autenticar.

4
  • Pelo histórico de avaliações alguém não concordou com a resposta e votou contra. Pode dizer o porquê? 7/11/2014 às 15:24
  • Estou com uma situação, e no caso do cara não fechar o sistema pelo "logout", ou matar o processo do navegador ou der pau na máquina? Nisso ele ficará preso, até ser alterado no banco manualmente.
    – wribeiro
    14/12/2018 às 11:06
  • A menos que você esteja usando um handler de sessões próprio ou autenticação por OAut (Google, Facebook...) a sessão vai expirar quando o navegador fechar, de um jeito ou de outro. Se por um acaso estiver usando mais ou menos como o snippet acima, além de condicionar valor vindo do banco de dados, condicione também se o superglobal $_SESSION foi criado por session_start() -E- com algum valor nele. 15/12/2018 às 10:12
  • Me surgiu essa dúvida porque preciso bloquear acesso simultâneo do mesmo usuário em lugares diferentes
    – wribeiro
    15/12/2018 às 18:51

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .