Ok cuando entro a la pagina principal donde me pide login y password:se llama a este asp que valida si soy usuario del sitio y si estoy en la bd.
<%
Set Conn=Server.CreateObject("ADODB.Connection")
Conn.Open Conn_String
' Se define el rs para el catalogo de unidades Organizacionales
Set rs_usuario = Server.CreateObject("ADODB.Recordset")
sql = "SELECT * FROM USUARIOS WHERE uid_usu='"&request.Form("usuario")&"' AND pwd_usu='"&request.Form("contrasenia")&"'"
rs_usuario.Open sql, Conn, 1 ,1
num = rs_usuario.recordcount
if rs_usuario.recordcount = 0 then
session("acceso") = false
%>
Lo sentimos su nombre de usuario y contraseña no son válidos, por favor verfique sus datos
<%Elseif rs_usuario.fields("Activo")=false then %>
Lo sentimos su cuenta ha sido desactivada
<% Else
session("acceso") = true
session("uid_usu") = rs_usuario.fields("uid_usu")
session("nombre_usuario") = rs_usuario.fields("nom_usu")
session("tpo_usu") = rs_usuario.fields("tpo_usu")
session("cve_ger") = rs_usuario.fields("cve_ger")
session("cve_ser") = rs_usuario.fields("cve_ser")
%>
<script>
location.href="principal.asp"
</script>
<% end if%>
------------------------------ahora en las paginas que deben restringirse tiene este codigo inicial.
<%
if session("tpo_usu") = "S" or session("tpo_usu") = "G" then
response.redirect("acceso_restringido.asp")
end if
%>
----------------------------------------
y todas las paginas que conforman el sitio, tiene un archivo que se incluye
y el codigo es:(<!--#include file="valida_acceso.asp" -->)
<%
if session("acceso") = false or ("nada" & session("acceso")) ="nada" then
%>
<script>
top.location.href="sesi.html"
</script>
<%
end if
%>
------------------------------
y en la pagina de terminar sesion tiene el siguiente codigo, que no entiendo porque yo pense que aqui es donde se destruyen las variables de sesion:
y no viene nada de codigo asp, solo son enlaces.
Desea usted salir de esta sesión
</p>
<p><a href="sesi.html" target="_parent"><img src="imagenes/continuar.gif" width="86" height="20" border="0" /></a>
<a href="vacia.asp"><img src="imagenes/cancelar.gif" width="86" height="20" border="0"></a>
</p>
----------------------------------------------------------------
Ok ahora no se que esta fallando ya me hice bolas con las cookies y las variables de sesion, hace ratito hice pruebas y efectivamente, si primero abro el sitio e ingreso como administrador, pues todo jala bien, pero me salgo y ahora entre como un usuario sin privilegios("S","G"), y algunas paginas que no debe mostrarme , pues me las muestra y reviso el codigo y efectivamente tienen el codigo que restringe y tambien el include, yo pienso que son las cookies que dejo el administrador?¿ no se la cosa es que no puede seguir pasando esto, porque la gente que no tiene permisos puede hacer cosas que solo el administrador podria hacer, y esto esta muy mal, que puedo hacer? elimino cookies, o variables de sesion? o que hagoo?? ayudenme chicos porfavor, esto me esta matando.
Hace ratito elimine cookies desde el browser y me logueaba como usuario sin privilegios, y aun me mostraba las paginas que solo administrador puede ver, pero cuando actualizaba(F5) ya me mostraba la pagina de acceso restringido, que pasa con esto???
Please, espero pronto su ayuda.
Gracias de antemano.