La seguridad la implemento de la siguiente manera:
- Tengo un script llamado 'autentificarse.php' en el que se le pide al usuario su login y contraseña.
- A continuación en un script llamado 'control.php' compruebo si ese login y esa contraseña están incluidas en la BD y:
Using php Syntax Highlighting
session_start();
$_SESSION['autentificado'] = "SI";
header ("Location: http://localhost/miBD/index.php?login=".$fila['login']."");
}else {
//si no existe le mando otra vez a la portada
header("Location: autentificarse.php?errorusuario=si");
}
$_SESSION['autentificado'] = "SI";
header ("Location: http://localhost/miBD/index.php?login=".$fila['login']."");
}else {
//si no existe le mando otra vez a la portada
header("Location: autentificarse.php?errorusuario=si");
}
Coloreado en 0.028 segundos, usando GeSHi 1.0.8.4
Abro la sesión (session_start()) y guardo una variable en la sesión 'autentificado', que servirá como referencia más adelante para ver si un usuario está autentificado o no. Si lo está lo mando al index, pero si no lo está vuelve a la página 'autentificarse.php'.
- Tengo un fichero llamado 'seguridad.php' que incluyo en todos los script que no quiero que puedan ser abiertos en el navegador poniendo 'http://localhost/miBD/miScript.php?id=1'. El fichero seguridad tiene el siguiente código:
Using php Syntax Highlighting
<?
session_start();
if ($_SESSION['autentificado'] != "SI") {
//si no existe, envio a la página de autentificacion
header("Location: autentificacion.php");
//ademas salgo de este script
exit();
}
?>
session_start();
if ($_SESSION['autentificado'] != "SI") {
//si no existe, envio a la página de autentificacion
header("Location: autentificacion.php");
//ademas salgo de este script
exit();
}
?>
Coloreado en 0.014 segundos, usando GeSHi 1.0.8.4
pero probando cosas me pasa una cosa curiosa, si autentifico a un usuario en el navegador mozilla y abro otra pestaña u otra ventana en ese mismo navegador ya puedo poner 'http://localhost/miBD/miScript.php?id=1' las veces que quiera que consigo abrir el script, aunque sea con otro usuario al que he autentificado, cosa que no creo que sea muy segura.
En cambio si abro por ejemplo el explorer y pongo lo mismo 'http://localhost/miBD/miScript.php?id=1', no me lo abre, sino me aparece el siguiente warning:
- Código: Seleccionar todo
Warning: Cannot modify header information - headers already sent by (output started at C:\server\web\miBD\index.php:10) in C:\server\web\miBD\Seguridad\seguridad.php on line 6
¿Por qué me pasa esto? ¿Cómo puedo modificar la implementación de seguridad en mi programa para que no pasen estas cosas? ¿Qué me aconsejáis que use como seguridad teniendo en cuenta que el programa se usará en una intranet?
Muchas gracias.
