Tạo chức năng phân quyền user và admin bằng PHP

<!-- login.php -->
<form action="process_login.php" method="POST">
    <label>Tên đăng nhập:</label><br>
    <input type="text" name="username" required><br>
    <label>Mật khẩu:</label><br>
    <input type="password" name="password" required><br>
    <button type="submit">Đăng nhập</button>
</form>

Xử lý đăng nhập và lưu thông tin session

File process_login.php sẽ xác thực người dùng bằng cách truy vấn cơ sở dữ liệu, sau đó lưu thông tin username và role vào $_SESSION nếu đúng.

<?php
session_start();
require_once 'db.php';

$username = trim($_POST['username']);
$password = trim($_POST['password']);

$pdo = getPDO();
$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ?");
$stmt->execute([$username]);
$user = $stmt->fetch();

if ($user && password_verify($password, $user['password'])) {
    $_SESSION['username'] = $user['username'];
    $_SESSION['role'] = $user['role'];
    header('Location: dashboard.php');
} else {
    echo "Đăng nhập không hợp lệ!";
}

Tạo dashboard phân biệt quyền

Phân hướng người dùng theo vai trò

Sau khi đăng nhập, tùy thuộc vào vai trò mà người dùng sẽ được chuyển đến trang riêng biệt: admin hoặc user.

// dashboard.php
session_start();

if (!isset($_SESSION['role'])) {
    header('Location: login.php');
    exit();
}

if ($_SESSION['role'] === 'admin') {
    header('Location: admin_panel.php');
} elseif ($_SESSION['role'] === 'user') {
    header('Location: user_home.php');
} else {
    echo "Vai trò không hợp lệ.";
}

Bảo vệ trang riêng theo vai trò

Kiểm tra quyền trước khi truy cập

Trang admin chỉ nên được phép truy cập bởi người có role = admin. Bạn nên thực hiện kiểm tra ở mỗi trang riêng biệt hoặc xây dựng một file auth.php dùng chung.

// admin_panel.php
session_start();

if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'admin') {
    echo "Bạn không có quyền truy cập trang này.";
    exit();
}

echo "<h2>Chào Admin: {$_SESSION['username']}</h2>";

Trang dành cho user

Người dùng thông thường cũng có giao diện riêng. Bạn nên tạo trang user_home.php cho họ:

// user_home.php
session_start();

if (!isset($_SESSION['role']) || $_SESSION['role'] !== 'user') {
    echo "Bạn không có quyền truy cập.";
    exit();
}

echo "<h2>Chào mừng người dùng: {$_SESSION['username']}</h2>";

Tạo menu điều hướng theo role

Cá nhân hóa menu theo vai trò người dùng

Menu điều hướng sẽ hiển thị các mục khác nhau tùy thuộc vào quyền của người dùng. Việc này giúp giao diện trực quan và bảo mật hơn.

// menu.php
<?php
session_start();

if ($_SESSION['role'] === 'admin') {
    echo "<a href='admin_panel.php'>Trang quản trị</a> | ";
}
if ($_SESSION['role'] === 'user') {
    echo "<a href='user_home.php'>Trang người dùng</a> | ";
}
echo "<a href='logout.php'>Đăng xuất</a>";
?>

Tối ưu phân quyền bằng middleware (auth.php)

Tái sử dụng kiểm tra quyền

Để tránh lặp lại logic kiểm tra quyền, bạn có thể tạo một hàm dùng chung:

// auth.php
function requireRole($role) {
    session_start();
    if (!isset($_SESSION['role']) || $_SESSION['role'] !== $role) {
        echo "Truy cập bị từ chối.";
        exit();
    }
}

Áp dụng vào các trang

// admin_panel.php
require_once 'auth.php';
requireRole('admin');

echo "<h2>Quản trị admin</h2>";

// logout.php
session_start();
session_unset();
session_destroy();
header('Location: login.php');