<?php
// Iniciar sesión ANTES de cualquier output
session_start();

include_once("./scripts/connect.php");

// Verificar que los datos del formulario estén presentes
if (!isset($_POST['usr']) || !isset($_POST['pswd'])) {
    header("Location: ./index.php");
    exit;
}

$usrr  = trim($_POST['usr']);
$pswdd = trim($_POST['pswd']);

// Validar que solo contengan letras y números (la pass llega como MD5 hex desde JS)
$patron = "/^[0-9a-zA-Z]+$/";
if (!preg_match($patron, $usrr) || !preg_match($patron, $pswdd)) {
    header("Location: ./index.php?err=Caracteres");
    exit;
}

// Conectar a la BD
$conexion = conecta_default();

// La contraseña llega ya como MD5 desde el formulario (hex_md5 en JS del index.php)
// Consulta con prepared statements para evitar SQL injection
$stmt = mysqli_prepare($conexion, "SELECT idusuarios_sist, nombre_usr, rango_idrango FROM usuarios_sist WHERE nombre_usr = ? AND passwd = ?");
mysqli_stmt_bind_param($stmt, "ss", $usrr, $pswdd);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);

if (!$result || mysqli_num_rows($result) == 0) {
    mysqli_close($conexion);
    header("Location: ./index.php?err=Login");
    exit;
}

// Credenciales correctas - obtener datos del usuario
$usr     = mysqli_fetch_object($result);
$id      = $usr->idusuarios_sist;
$usuario = $usr->nombre_usr;
$priv    = $usr->rango_idrango;

mysqli_close($conexion);

// Guardar datos en sesión
$_SESSION['usuario']    = $id . "|" . $priv . "|" . $usuario;
$_SESSION['id']         = $id;
$_SESSION['nombre_usr'] = $usuario;
$_SESSION['rango']      = $priv;

// Redirigir según rango - sin ningún echo antes del header
switch ((int)$priv) {
    case 1:
        header("Location: ./admin/index.php");
        exit;
    case 2:
        header("Location: ./capturista/index.php");
        exit;
    default:
        header("Location: ./admin/index.php");
        exit;
}
?>
