Blokada usunięcia admina

Question

Witam,

proszę o pomoc w naprowadzeniu mnie na dobry tok rozumowania. Otóż mam tabele z użytkownikami oraz prawami. Jako administrator mogę usunąć wszystkich użytkowników (nawet siebie) - i tu jest problem. Mam napisany kod, i wiem dlaczego tak działa jednak nie potrafię wymyślić lepszego sposobu. Otóż w załączonym pliku jeśli prawo = 1 wtedy nie mogę usunąć nikogo. Jeśli dam prawo =3 wtedy mogę usunąć wszystkich, razem ze mną. Zapewne przez to, że jestem zalogowany jako admin to strona pobiera sobie tylko wartość z id admina, więc nie bierze pod uwagę innych id ( a zarazem praw).

Kod: http://pastebin.com/D3VyrU6m

Jeśli ktoś ma jakiś pomysł, proszę o pomoc. Rozwiązanie zapewne jest banalne, jednak nie mogę na nic wpaść.

Comments

Przed usuwaniem możesz sprawdzić czy id usuwanego użytkownika nie jest takie samo jak id aktualnie zalogowanego.

Answer 1

Błąd znaleziony. Okazało się, że metoda  $prawo = $_GET['Prawo'];przesyłała 1 jako '1', więc php odbierał to chyba jako string. Usunięcie ' ' z buttonu value pomogło.

Answer 2

No to tak: modyfikujesz twoje zapytanie tak, aby sprawdzało przy okazji, czy użytkownik ma większe prawa niż np 1, 2 czy 3, jak tam wolisz. Czyli:

   $zapytanie = "DELETE FROM `".$prefix."Uzytkownicy` WHERE ID =".$id."";

zmieniasz na np:

   $zapytanie = "DELETE FROM `".$prefix."Uzytkownicy` WHERE ID =".$id." AND prawa<3";

 

Comments

Niestety, ale po zmianie zapytania dalej to samo. Zapytanie zmodyfikowałem na ten kod:

$zapytanie = "DELETE FROM `".$prefix."Uzytkownicy` WHERE ID =".$id." AND ".$prawo." < 3";

Admin się nie usuwa, ale również nie usuwa się użytkownik.

---

Sorry, nie powinno być <3 ale >3, mój błąd:)

---

Niestety, dalej to samo. Sprawdzałem tym sposobem, jednak brak rezultatów;/

---

Dlaczego dajesz tam '$prawo'? W tym zapytaniu nie weryfikujesz zmiennej z twojego kodu PHP, ale weryfikujesz dane z kolumny, więc zamiast '$prawo' daj po prostu nazwę kolumny.

---

A w ten sposób? 

$zapytanie = "DELETE FROM `".$prefix."Uzytkownicy` WHERE ID =".$id." AND ".$prawo<3;

 

---

Dalej nie działa. Z drugiej strony po co dodawać prawo skoro już warunek na początku nam określa co się ma stać.