admin side check userid og admin status

hurtig tanke, du kunne ligge din $userId op i toppen, og checke på din status længere nede


du mangler også exit efter header('Location:......, hvilke forhindre resten af siden indlæsses, selv om den ikke bruges


(utested)
[code]
<?php
session_start();
$url_return = "../index.php";
if(isset($_SESSION["userId"])){
    $userId = $_SESSION["userId"];
}
else{
    header('Location:'.$url_return );
    exit();
}


if($result = $db->query("SELECT * FROM Users WHERE id = '$userId'")) {
    if($result->num_rows) {
        if($row = $result->fetch_object()) {
            $status = $row->status;
        }
    }
    $result->free();
}

if($status !== 1){
    // ikke admin rettigheder
    header('Location:'.$url_return );
    exit();
}
?>
[/code]

code taget er nok ikke blevet bedre på det nye eksperten, men det skal lige prøves

tak for svaret, fik dog en feil på siden..

Fatal error: Uncaught Error: Call to a member function query() on null in /customers/4/8/3/os-dart.no/httpd.www/test/admin/index.php:13 Stack trace: #0 {main} thrown in /customers/4/8/3/os-dart.no/httpd.www/test/admin/index.php on line 13

>Fatal error: Uncaught Error: Call to a member function query()
lyder som om du ikke har en database connection ( den du kalder $db )

nu virker det, men den kører header uanset om jeg har status 0 eller 1..

>men den kører header uanset om jeg har status 0 eller 1..
er 1 en int eller en string ??

det der testes for er om den er tallet 1 ( en int )
prøv at lave denne
if($status !== 1){

om til
if($status != 1){

jeg har et enum i min table med 0, 1, 2 så jeg tro det er int eller hvad??

det hjalp med != istedet for !==..
tak for løsningen..

er dette en sikker løsning til en admin side eller findes der en bedre løsning??

enum er sin helt egen datatype

=== / !== lavet netop også test af datatype.

så i if($status !== 1)  testes om $status ikke er ligmed værdien 1 datatypen int


>er dette en sikker løsning til en admin side eller findes der en bedre løsning??
rimelig sikker, du kan sikkert finde andre løsninger, når du gør så brug den der passer dig bedst

jeg tror jeg ville bruge Prepare Statement i SQL, og bindeparam $userId. istedet for direkte $_POST / $_GET værdier i SQL.

>$userId = $_SESSION["userId"];
ville jeg lave om til
$userId = (int) $_SESSION["userId"];
da jeg antager $userId er en integer, så sender du andet over ens int, bliver det typecasted til int, så du her får en grov afvaskning af dine data.