Brecha en sistema de login

[KimboKim]

Hola a todos,
como indica el titulo del tema, tengo un problema que espero que me ayuden a solucionar, tengo creado un sistema de login con sesiones para mis usuarios y estoy pasando el id del usuario por GET para poder recuperar algunos datos como su nombre, email, etc...

el problema es que cunado un usuario se conecta y su id=1 si cambias el id en el URL y poner 3 en lugar de 1 se conecta automáticamente como el usuario con la id=3.

el codigo del login es el siguiente;

<?php
include ("includes/config.php");

$username=$_POST['usuario'];
$password=md5($_POST['contrasena']);
$query = mysql_query("SELECT * FROM users WHERE usuario = '$username'") or die(mysql_error());
$data = mysql_fetch_array($query);

if($data['contrasena'] == $password && $data['usuario']==$username){
session_start();
$_SESSION["autentificado"]= "SI";
$id=$data['id_usuario'];
header ("Location: ssctc.php?id=$id");
}else {
header("Location: index.php?erroracceso=si");
}

?>

Que es lo que estoy haciendo mal???
hay alguna otra manera de recuperar los datos del usuario conectado sin tener que pasar su id por la URL?

Muchas gracias de antemano.

[quike88]

Que tal,

Almacena el id en una sesión:

Código PHP:

$_SESSION["id_usuario"]= $id;
 

Y usas esa sesión en las otras páginas.

Saludos

[bray]

Hola, NUNCA se debe pasar ese tipo de datos por URL , una vez confirmes que los datos que ha introducido el usuario son correctos lo mejor es , como te ha dicho quike 88, emplear una variable de sesion.

Las variables de sesion se almacenan en el servidor, lo que quiere decir que el usuario no tiene acceso directo a ellas, el usuario solo recibe una id de sesion que es identificada por el servidor ,por esto , este tipo de datos como el identificador de usuario que utilizas para proporcionar acceso a la BD debe estar en el servidor para asegurarte de que no ha cambiado.

Una pregunta, ¿el nombre de usuario es unico ?, ¿no puede haber dos usuarios con nombre repetido?, lo digo porque en tu consulta supones que solo va a haber una fila coincidente, pero si el nombre de usuario puede repetirse, es posible que compruebes la contraseña y no coincida, o incluso que obtengas por error la cuenta de otro usuario (podrias obtener por error un id distinto de un usuario con nombre similar, para evitar esto deberias comprobar en la consulta sql que se cumple que usuario = $user y que password = $password , eso si es imprescindible que filtres las entradas del formulario. mediante addslashes() y stripslashes() para evitar la inyecccion sql.

Espero no haberme extendido mucho ejjejeje un saludo.

[KimboKim]

Muchas Gracias por la información me ha sido muy util la verdad, aunque me queda una pequeña duda!!!

se supone que al verificar los datos declaro la session como tengo que guardar el $id? y cómo debo recuperarla para en las demas páginas? serian tan amables de facilitarme algun ejemplo!!

muchas gracias

[quike88]

Que tal, creo que no prestaste atención a mi mensaje:

Iniciado por quike88

Que tal,

Almacena el id en una sesión:

Código PHP:

$_SESSION["id_usuario"]= $id;
 

Y usas esa sesión en las otras páginas.

Saludos

Y para leer sería:

Código PHP:

session_start();
echo $_SESSION["id_usuario"];
 

Te recomiendo que leas mas acerca del uso de sesiones en el manual de php

Saludos.

[KimboKim]

Iniciado por quike88

Que tal, creo que no prestaste atención a mi mensaje:



Y para leer sería:

Código PHP:

session_start();
echo $_SESSION["id_usuario"];
 

Te recomiendo que leas mas acerca del uso de sesiones en el [URL="http://www.php.net/manual/es/book.session.php"]manual de php[/URL]

Saludos.

Muchisimas gracias quike88, ya lo he pillado y me funciono de maravilla.


Ha sido muy amabole y por cierto gracias por el link sobre las sessiones, es un tema que aun ando flojo.