check hash

back/update.php

@@ -34,27 +34,32 @@ if ($_SERVER['REQUEST_METHOD']=="POST") {
 	
 
 } elseif ($_SERVER['REQUEST_METHOD']=="GET") {
-	$stmt = $db->prepare("select nombre, apellido,prefijo,telefono,zona,provincia,pais,dia,mes,mail,infocursos from mails_datos where hash=? and mail=?");
+	$stmt = $db->prepare("select nombre, apellido,prefijo,telefono,zona,provincia,pais,dia,mes,mail,infocursos,hash from mails_datos where mail=?");
 
 	$hash=$_GET['hash'];
 	$mail=$_GET['mail'];
 
-	$stmt->bind_param('ss', $hash,$mail);
+	$stmt->bind_param('s',$mail);
 	$stmt->execute();
-	$stmt->bind_result($nombre,$apellido,$prefijo,$telefono,$zona,$provincia,$pais,$cumple_dia,$cumple_mes,$mail,$infocursos);
+	$stmt->bind_result($nombre,$apellido,$prefijo,$telefono,$zona,$provincia,$pais,$cumple_dia,$cumple_mes,$mail,$infocursos,$dbhash);
 	if($stmt->fetch()){
-		$out=array("nombre" => $nombre,
-			"apellido" => $apellido,
-			"prefijo" => $prefijo,
-			"telefono" => $telefono,
-			"zona" => $zona,
-			"provincia" => $provincia,
-			"pais" => $pais,
-			"email" => $mail,
-			"infocursos" => $infocursos,
-			"dia" => $cumple_dia,
-			"mes" => $cumple_mes);
-		echo json_encode($out);
+		if($hash==$dbhash) {
+			$out=array("nombre" => $nombre,
+				"apellido" => $apellido,
+				"prefijo" => $prefijo,
+				"telefono" => $telefono,
+				"zona" => $zona,
+				"provincia" => $provincia,
+				"pais" => $pais,
+				"email" => $mail,
+				"infocursos" => $infocursos,
+				"dia" => $cumple_dia,
+				"mes" => $cumple_mes);
+			echo json_encode($out);
+		} else {
+	    	http_response_code(401); #Unauthorized
+			echo json_encode(array("mensaje" => "El hash no coincide"));
+		}
 	} else {
 	    http_response_code(401); #Unauthorized
 		echo json_encode(array("mensaje" => "No estas en nuestra base de datos? Registrate!"));