Módulo Sistema (Login/Entrada) – BarberBot

📁 Estrutura (conforme pasta /sistema)

• PASTApainel/ — painel administrativo.
• PASTApainel_cliente/ — painel do cliente/profissional.
• PASTAcss/ — estilos do sistema (login/recuperação/bloqueio).
• PASTAdompdf/ — biblioteca PDF (relatórios/recibos).
• ARQUIVOindex.php — login do painel (admin/atendente) → envia para autenticar.php.
• ARQUIVOacesso.php — login do cliente/profissional → envia para autenticar_cliente.php.
• ARQUIVOautenticar.php — autenticação do painel (tabela usuarios).
• ARQUIVOautenticar_cliente.php — autenticação do cliente (tabela clientes).
• ARQUIVObloqueio.php — tela/rotina de bloqueio por regra (assinatura/permissão/status).
• ARQUIVOrecuperar-senha.php — recuperação de senha (painel).
• ARQUIVOrecuperar-senha_cliente.php — recuperação de senha (cliente).
• ARQUIVOconexao.php — conexão PDO + configs globais.

🔐 Fluxos reais de login (admin x cliente)

1) Painel (admin/atendente)

1. Usuário acessa /sistema/index.php.
2. Form envia POST para /sistema/autenticar.php.
3. O script consulta usuarios (login por e-mail/CPF) e valida senha com password_verify().
4. Em sucesso, grava sessão:
   • $_SESSION['id']
   • $_SESSION['nivel']
   • $_SESSION['cpf_usuario'], $_SESSION['imagem_usuario'], $_SESSION['email_usuario']
   • $_SESSION['aut_token_1010'] (token fixo do painel)
5. Redireciona para /sistema/painel/.

2) Painel do Cliente/Profissional

1. Usuário acessa /sistema/acesso.php.
2. Form envia POST para /sistema/autenticar_cliente.php.
3. O script consulta clientes (login por telefone) e valida senha com password_verify().
4. Em sucesso, grava sessão:
   • $_SESSION['id']
   • $_SESSION['nome']
   • $_SESSION['aut_token_505052022'] (token fixo do painel_cliente)
5. Redireciona para /sistema/painel_cliente/.

🧠 Sessão e tokens (checagem em verificar.php)

Nos dois painéis existe uma checagem dupla: id + token fixo. Esses tokens são validados em:

• /sistema/painel/verificar.php → exige $_SESSION['aut_token_1010']
• /sistema/painel_cliente/verificar.php → exige $_SESSION['aut_token_505052022']

🧾 Arquivos principais (o que cada um faz)

index.php (login painel)

• UI de login (admin/atendente) e envio para autenticar.php.
• Apresenta mensagens via $_SESSION['flash'].

acesso.php (login cliente)

• UI de login do cliente/profissional e envio para autenticar_cliente.php.
• Também usa “flash” para retorno visual.

autenticar.php

• Valida credenciais no usuarios (login por e-mail/CPF).
• Senha: password_verify() (hash em senha_crip).
• Cria sessão e redireciona para o painel.

autenticar_cliente.php

• Valida credenciais no clientes (login por telefone).
• Senha: password_verify().
• Cria sessão e redireciona para o painel_cliente.

bloqueio.php

• Tela de bloqueio (assinatura, permissão, status, etc.).
• Normalmente acessada por redirecionamento após checagens de regra.

recuperar-senha.php / recuperar-senha_cliente.php

• Fluxo de reset (solicita dado do usuário e dispara recuperação).
• Boa prática: token com expiração e uso único.

conexao.php

• Centraliza PDO + configs globais usadas por todo o sistema.
• Qualquer refactor deve manter compatibilidade com os includes do painel e painel_cliente.

🛡️ Pontos críticos + boas práticas (produção)

• PDO sempre parametrizado (prepare + bind) — evita SQL Injection.
• Senha com hash forte: password_hash / password_verify (já está assim no ZIP).
• Session hardening: regenerar ID no login, cookies HttpOnly/Secure (HTTPS).
• Rate-limit em login/recuperação (anti brute-force).
• Logs em falhas/bloqueios (auditoria e suporte).

✅ Checklist rápido

• Conferir se autenticar.php e painel/verificar.php usam o mesmo token (aut_token_1010).
• Conferir se autenticar_cliente.php e painel_cliente/verificar.php usam o mesmo token (aut_token_505052022).
• Se mexer no login, manter $_SESSION['flash'] pra mensagens.
• Garantir session_start() nos pontos certos (login, verificar, logout).
• Se colocar bloqueio por assinatura/permissão, centralizar o redirecionamento em um “guard” (evita duplicação).

↑ voltar ao topo