Admin kann für Mitglieder den Benutzernamen ändern

[Ralf]

Hallo zusammen,

vor folgender Aufgabenstellung stehe ich momentan:

Ein Admin soll den Benutzernamen (bzw. bei mir eben Kundennummer) eines Mitglieds ändern können. Da dies jedoch eigentlich nicht möglich ist, da das Feld keine Eingabe erlaubt, würde ich es gerne ändern.

Dazu habe ich mir die users.php angeschaut und folgenden Code ziemlich am Ende gefunden:

Code: Alles auswählen

        echo '<tr><td class="leftrow">'.___('Login:').'</td>';
        echo '<td class="rightrow">';
        if ($_REQUEST['id']<=0) {
            echo '<input type="text" name="user" value="'.htmlspecialchars($_POST['user']).'" class="inputwidth" maxlength="255" />';
            echo help('users-workonusers.html#users-workonusers-editusersettings-login'); 
        } else { 
            echo '<input type="hidden" name="user" value="'.htmlspecialchars($_POST['user']).'" />'
                .htmlspecialchars($_POST['user']);
        }

Doch wie sage ich ihm jetzt, dass er mir dieses Feld bitte zum editieren freigeben soll WENN ich ein Admin bin und der User ein Mitglied ist und NUR dann?! sonst wie gehabt.

es müsste doch machbar sein mit einer if Abfrage wenn $_SESSION['SID_user']['admin']<ROLE_SUPERUSER und DB Feld 'admin' = 0 er mir folgendes auspuckt
echo '<input type="text" name="user" value="'.htmlspecialchars($_POST['user']).'" class="inputwidth" maxlength="255" />';
und wenn nicht else der Code wo jetzt drin steht?!!

Bin ich da auf dem richtigen Weg ... oder fehlt noch was??

[MarkusR]

Ich würde es mal mit
>ROLE_SUPERUSER
versuchen...

[Ralf]

Danke habe ich auch gemerkt!!

Habe es jetzt so gelöst:

Suche in _admin/users.php (Achtung wieder ohne die php Kommentierungen am Anfang und Ende vom Code!!)

Code: Alles auswählen

        if ($_REQUEST['id']<=0) {
            echo '<input type="text" name="user" value="'.htmlspecialchars($_POST['user']).'" class="inputwidth" maxlength="255" />';
            echo help('users-workonusers.html#users-workonusers-editusersettings-login'); 
        } else { 
            echo '<input type="hidden" name="user" value="'.htmlspecialchars($_POST['user']).'" />'
                .htmlspecialchars($_POST['user']);
        }

ersetze es durch

Code: Alles auswählen

		if ($_SESSION['SID_user']['admin']>=ROLE_SUPERUSER && $_POST['admin']==0) {
            echo '<input type="text" name="user" value="'.htmlspecialchars($_POST['user']).'" class="inputwidth" maxlength="255" />';
			echo help('users-workonusers.html#users-workonusers-editusersettings-login');
        } else {
        	if ($_REQUEST['id']<=0) {
            	echo '<input type="text" name="user" value="'.htmlspecialchars($_POST['user']).'" class="inputwidth" maxlength="255" />';
            	echo help('users-workonusers.html#users-workonusers-editusersettings-login'); 
        	} else { 
            	echo '<input type="hidden" name="user" value="'.htmlspecialchars($_POST['user']).'" />'
                	.htmlspecialchars($_POST['user']);
        	}
		}

ist das so OK oder habe ich irgendwelche Sicherheitsdinger vergessen zu beachten??

cu Ralf

[MarkusR]

Funktioniert es denn wie gewünscht?

Ansonsten kannst Du sicherheitstechnisch nicht viel falsch machen, da es ja nur das absendende Formular und nicht das verarbeitende Script ist...

[Ralf]

Ja danke, es funktioniert wie gewünscht!!