<?
// Definicion de CONSTANTES
define("SITE", 3); // BM
define("SITE_2019", 3); // BM-2019 YA NO SE UTILIZA, MAYO 2021

// CONTROLADOR y ACCION POR DEFECTO
define("CONTROLADOR_DEFECTO", "inicio"); // index
define("ACCION_DEFECTO", "mostrar"); // mostrar

// CONTROLADORES VALIDOS, CONSTANTE no permite ARRAYS, SERIALIZE
define("CONTROLADORES_VALIDOS", serialize (array("listado","listadoJSON","nodo","inicio","cook","altaTarjeta","recordarContrasena","login","cerrarSesion","cambiarContrasena","restaurarContrasena","saldoTarjeta","contacto","contactoSalesforce","respuestaContactoSalesforce","contactoSalesforcePreproduccion","datosPersonales","datosPersonalesAsoc","registroTarjeta","activaTarjeta","direccionAlternativa","asociacion","tarjetaReal","bajaEmail","bajaSMS","validarCP","localizarTienda","tienda","localizarOferta","localizarOfertaFolletos","localizarExcelenteFolletos","localizarMarcasFolletos","tiendaOfertas","localizarPublicacion","tiendaPublicaciones","encuestaSatisfaccion","recogerEncuestaSatisfaccion","InscripcionKids","folletoOfertas","folletoExcelente","folletoMarcas","landingDatos")));

// ACCIONES VALIDAS
define("ACCIONES_VALIDAS", serialize (array ("mostrar")));

// CONTROLADORES PUBLICOS, sin proteccion, por defecto TODOS PROTEGIDOS ARRAYS, SERIALIZE
define("CONTROLADORES_PUBLICOS", serialize (array("listado","listadoJSON","nodo","inicio","cook","altaTarjeta","recordarContrasena","login","cerrarSesion","restaurarContrasena","contacto","contactoSalesforce","respuestaContactoSalesforce","contactoSalesforcePreproduccion","registroTarjeta","activaTarjeta","bajaEmail","bajaSMS","validarCP","localizarTienda","tienda","localizarOferta","localizarOfertaFolletos","localizarExcelenteFolletos","localizarMarcasFolletos","tiendaOfertas","localizarPublicacion","tiendaPublicaciones","encuestaSatisfaccion","recogerEncuestaSatisfaccion","InscripcionKids","folletoOfertas","folletoExcelente","folletoMarcas","landingDatos")));

// CLAVE ENCRIPTACION
define("CLAVE_ENCRYPT", "ayama54$&*98");

// VERSION PHP para solucionar TEMAS CODIFICACION UTF8
define("VERSION_PHP", "PHP7"); // Si PHP5 se codifica UTF8 en MODELO, TITULO

// Nº PALABRAS en RESUMENES
define("PALABRAS_RESUMEN", 8);

// Nº ITEMS_PAGINA
define("ITEMS_PAGINA", 12);

// Nº DESTACADOS_INICIO
define("DESTACADOS_INICIO", 6);

// Nº BANNERS_HOME_DESTACADOS
define("BANNERS_HOME_DESTACADOS", 7);

// Nº BANNERS_HOME_PIE
define("BANNERS_HOME_PIE", 2);

// URL BASE
define("URL_BASE", "https://www.bmsupermercados.es/");

// NONCE
$nonce = base64_encode('EL-NONCE*&AYAMA'.rand());

define("NONCE", $nonce);
?>
<?
// DIRECTIVAS
header("X-XSS-Protection: 1;mode=block");
header("Cache-Control: no-store, no-cache, must-revalidate");
header("Cache-Control: post-check=0, pre-check=0", false);
header("Pragma: no-cache");

//CSP NONCE, YA NO CAMBIO DIC 2025
//header("Content-Security-Policy: default-src 'self';base-uri 'self';object-src 'none';style-src 'self' 'unsafe-inline' fonts.googleapis.com *.cookiefirst.com tagmanager.google.com;font-src 'self' fonts.gstatic.com data:;img-src 'self' data: *.facebook.com *.bmsupermercados.es *.google.es px.ads.linkedin.com *.google.com *.google-analytics.com *.googlesyndication.com *.ytimg.com storage.googleapis.com maps.googleapis.com maps.gstatic.com linkedin.com *.cookiefirst.com *.linkedin.com *.ggpht.com *.googletagmanager.com *.googleapis.com *.facebook.net *.gstatic.com googleads.g.doubleclick.net www.google.com ad.doubleclick.net https://dev.visualwebsiteoptimizer.com https://*.visualwebsiteoptimizer.com https://*.hotjar.com;frame-src 'self' www.youtube.com *.coonic.com *.doubleclick.net *.solution.weborama.fr *.facebook.com bid.g.doubleclick.net *.googletagmanager.com/;connect-src 'self' *.cookiefirst.com *.googlesyndication.com *.google.com *.analytics.google.com *.google-analytics.com *.doubleclick.net maps.googleapis.com *.linkedin.oribi.io *.facebook.com *.salesforce.com *.my.salesforce.com https://dev.visualwebsiteoptimizer.com https://*.visualwebsiteoptimizer.com https://*.hotjar.com wss://*.hotjar.com https://vc.hotjar.io;script-src 'unsafe-eval' 'strict-dynamic' 'self' 'nonce-".NONCE."' 'unsafe-inline' www.google-apis.com www.googletagmanager.com tagmanager.google.com *.google-analytics.com *.googleadservices.com www.google.com www.googleadservices.com googleads.g.doubleclick.net https://dev.visualwebsiteoptimizer.com https://*.visualwebsiteoptimizer.com https://static.hotjar.com https://script.hotjar.com;script-src-elem 'self' 'unsafe-inline' *.cookiefirst.com *.facebook.net *.googletagmanager.com *.googleadservices.com snap.licdn.com cstatic.weborama.fr www.youtube.com *.google-analytics.com googleads.g.doubleclick.net maps.googleapis.com t.hspvst.com https://dev.visualwebsiteoptimizer.com https://static.hotjar.com https://script.hotjar.com;frame-ancestors 'self';form-action 'self' https://webto.salesforce.com https://uvesco--uat.sandbox.my.salesforce.com;");

header("Content-Security-Policy:
    default-src 'self';
    base-uri 'self';
    object-src 'none';

    style-src 'self' 'unsafe-inline' fonts.googleapis.com *.cookiefirst.com tagmanager.google.com;
    font-src 'self' fonts.gstatic.com data:;

    img-src 'self' data: *.facebook.com *.bmsupermercados.es *.google.es px.ads.linkedin.com *.google.com *.google-analytics.com *.googlesyndication.com *.ytimg.com storage.googleapis.com maps.googleapis.com maps.gstatic.com linkedin.com *.cookiefirst.com *.linkedin.com *.ggpht.com *.googletagmanager.com *.googleapis.com *.facebook.net *.gstatic.com googleads.g.doubleclick.net www.google.com ad.doubleclick.net https://dev.visualwebsiteoptimizer.com https://*.visualwebsiteoptimizer.com https://*.hotjar.com;

    frame-src 'self' www.youtube.com *.coonic.com *.doubleclick.net *.solution.weborama.fr *.facebook.com bid.g.doubleclick.net *.googletagmanager.com;

    connect-src 'self' *.cookiefirst.com *.googlesyndication.com *.google.com *.analytics.google.com *.google-analytics.com *.doubleclick.net maps.googleapis.com *.linkedin.oribi.io *.facebook.com *.salesforce.com *.my.salesforce.com https://dev.visualwebsiteoptimizer.com https://*.visualwebsiteoptimizer.com https://*.hotjar.com wss://*.hotjar.com https://vc.hotjar.io;

    script-src 'strict-dynamic' 'self' 'nonce-".NONCE."' www.google-apis.com www.googletagmanager.com tagmanager.google.com *.google-analytics.com *.googleadservices.com www.google.com www.googleadservices.com googleads.g.doubleclick.net https://dev.visualwebsiteoptimizer.com https://*.visualwebsiteoptimizer.com https://static.hotjar.com https://script.hotjar.com;

    script-src-elem 'self' 'nonce-".NONCE."' *.cookiefirst.com *.facebook.net *.googletagmanager.com *.googleadservices.com snap.licdn.com cstatic.weborama.fr www.youtube.com *.google-analytics.com googleads.g.doubleclick.net maps.googleapis.com t.hspvst.com https://dev.visualwebsiteoptimizer.com https://static.hotjar.com https://script.hotjar.com;

    frame-ancestors 'self';

    form-action 'self' https://webto.salesforce.com https://uvesco--uat.sandbox.my.salesforce.com;
");

// Inicio SESSION
if (!isset(XXXXXXXXX)) {
	ini_set('session.use_only_cookies', '1');
	ini_set('session.cookie_httponly', '1'); 
    ini_set('session.cookie_secure','1');  
	session_cache_limiter('nocache');
	session_name('sesionBMSUPERMERCADOS');
	XXXXXXXXXXXXX();
}

//IDIOMA
$idioma = 1; //CASTELLANO POR DEFECTO
if (isset(XXXXXXXXX['idioma'])) $idioma = XXXXXXXXX['idioma'];
if (isset(XXXXX['lang'])) $idioma = XXXXX['lang'];
if ((!isset(XXXXXXXXX['idioma'])) && (!isset(XXXXX['lang']))) $idioma = 1;
if ($idioma != 1 && $idioma != 2) $idioma = 1;
XXXXXXXXX['idioma'] = $idioma;
?>
<?
// Clase para funciones auxiliares

// Clase para sacar las listas auxiliares de la aplicación: años, estados, sites, grupo, taxonomias... url.. diferentes funciones auxiliares
class Auxiliar {

	// URTE lista bueltatu
	public function urte_lista() {

		// Kontsulta osatu
		$taula = 'urtea';
		$eremuak = 'urtea_ID,urtea_txt'; 

		$kontsulta = "SELECT ". $eremuak . " FROM " . $taula . ' ORDER BY urtea_ID'; 
		$baloreak = array(); 

		$db = new Datubasea();  
		$db->konektatu();     
		$urteak = $db->select($kontsulta,$baloreak);
		$db->deskonektatu();
		unset($db);

		return $urteak;

	}

	// HILABETE lista bueltatu
	public function hilabete_lista() {

		// Kontsulta osatu
		$taula = 'hilabetea';
		$eremuak = 'hila_ID,hila_txt1,hila_txt2,hila_balio'; 

		$kontsulta = "SELECT ". $eremuak . " FROM " . $taula . ' ORDER BY hila_ID'; 
		$baloreak = array(); 

		$db = new Datubasea();   
		$db->konektatu();     
		$hilabeteak = $db->select($kontsulta,$baloreak);        
		$db->deskonektatu();
		unset($db);

		return $hilabeteak;

	}
	
	// hilabete lista bueltatu
    public function hilabete_lista_publikoa($idioma) 
	{
	 $meses = array();
	 $mesberria = array();
	 $balioak = array();

	 $db = new Datubasea();   
     $db->konektatu();
	 
	 //meses
	 $taula = 'hilabetea';
	 $eremuak = 'hila_ID,hila_txt1,hila_txt2,hila_balio'; 
	 
	 $kontsulta = "SELECT ". $eremuak . " FROM " . $taula . ' ORDER BY hila_ID'; 
	 
     $hilabeteak = $db->select($kontsulta,$balioak);

	 foreach ($hilabeteak as $hilabete) {
	 
	     $mesberria['id'] = $hilabete['hila_ID'];
		 $mesberria['valor'] = $hilabete['hila_balio'];
		 if ($idioma == 1) $mesberria['mes_texto'] = $hilabete['hila_txt1'];
		 if ($idioma == 2) $mesberria['mes_texto'] = $hilabete['hila_txt2'];
		 
	     array_push($meses,$mesberria);
	 
	 } //foreach
	 
	 $db->deskonektatu();
	 unset($db);

     return $meses;
	}

	// EGUN lista bueltatu
	public function egun_lista() {

		// Kontsulta osatu
		$taula = 'eguna';
		$eremuak = 'eguna_ID,eguna_txt'; 

		$kontsulta = "SELECT ". $eremuak . " FROM " . $taula . ' ORDER BY eguna_ID'; 
		$baloreak = array(); 

		$db = new Datubasea();   
		$db->konektatu();     
		$egunak = $db->select($kontsulta,$baloreak);        
		$db->deskonektatu();
		unset($db);

		return $egunak;

	}

	// EGOERA lista bueltatu
	public function egoera_lista($zebaldintza='',$baloreak='') {

		// Kontsulta osatu
		$taula = 'estado_nodo';
		$eremuak = 'estado_ID,estado_titulo'; 

		$kontsulta = "SELECT ". $eremuak . " FROM " . $taula;  
		if ($zebaldintza!='') {
			$kontsulta = $kontsulta . " " . $zebaldintza;
		}
		$kontsulta = $kontsulta . ' ORDER BY estado_ID';

		if ($zebaldintza=='') {
			$baloreak = array();
		}

		$db = new Datubasea();   
		$db->konektatu();     
		$egoerak = $db->select($kontsulta,$baloreak);        
		$db->deskonektatu();
		unset($db);

		return $egoerak;

	}

	// ENKUESTEN EGOERA lista bueltatu
	public function encuesta_egoera_lista($zebaldintza='',$baloreak='') {

		// Kontsulta osatu
		$taula = 'estado_encuesta';
		$eremuak = 'estado_encuesta_ID,estado_encuesta_titulo'; 

		$kontsulta = "SELECT ". $eremuak . " FROM " . $taula;  
		if ($zebaldintza!='') {
			$kontsulta = $kontsulta . " " . $zebaldintza;
		}
		$kontsulta = $kontsulta . ' ORDER BY estado_encuesta_ID';

		if ($zebaldintza=='') {
			$baloreak = array();
		}

		$db = new Datubasea();   
		$db->konektatu();     
		$egoerak = $db->select($kontsulta,$baloreak);        
		$db->deskonektatu();
		unset($db);

		return $egoerak;

	}

	// PRIORITATE-EGOERA lista bueltatu
	public function prioritate_lista($zebaldintza='',$baloreak='') {

		// Kontsulta osatu
		$taula = 'prioridad_nodo';
		$eremuak = 'prioridad_ID,prioridad_titulo'; 

		$kontsulta = "SELECT ". $eremuak . " FROM " . $taula;  
		if ($zebaldintza!='') {
			$kontsulta = $kontsulta . " " . $zebaldintza;
		}
		$kontsulta = $kontsulta . ' ORDER BY prioridad_ID';

		if ($zebaldintza=='') {
			$baloreak = array();
		}

		$db = new Datubasea();   
		$db->konektatu();     
		$prioritateak = $db->select($kontsulta,$baloreak);        
		$db->deskonektatu();
		unset($db);

		return $prioritateak;

	}

	// SITE lista bueltatu
	public function site_lista($zebaldintza='',$baloreak='') {

		// Kontsulta osatu
		$taula = 'site';
		$eremuak = 'site_ID,site_titulo,site_orden'; 

		$kontsulta = "SELECT ". $eremuak . " FROM " . $taula;  
		if ($zebaldintza!='') {
			$kontsulta = $kontsulta . " " . $zebaldintza;
		}
		$kontsulta = $kontsulta . ' ORDER BY site_orden';

		if ($zebaldintza=='') {
			$baloreak = array();
		}

		$db = new Datubasea();   
		$db->konektatu();     
		$siteak = $db->select($kontsulta,$baloreak);        
		$db->deskonektatu();
		unset($db);

		return $siteak;

	}

	// TALDE lista bueltatu
    public function grupo_lista($zebaldintza='',$baloreak='') 
	{

		// Kontsulta osatu
		$taula = 'grupo';
		$eremuak = 'grupo_ID,grupo_titulo,grupo_orden,grupo_clave'; 

		$kontsulta = "SELECT ". $eremuak . " FROM " . $taula;  
		if ($zebaldintza!='') {
			$kontsulta = $kontsulta . " " . $zebaldintza;
		}
		$kontsulta = $kontsulta . ' ORDER BY grupo_orden';

		if ($zebaldintza=='') {
			$baloreak = array();
		}

		$db = new Datubasea();   
		$db->konektatu();     
		$taldeak = $db->select($kontsulta,$baloreak);        
		$db->deskonektatu();
		unset($db);

		return $taldeak;

	}

	// TAXONOMIEN KATEGORIA lista bueltatu
	public function taxocat_lista($zebaldintza='',$baloreak='') {

		// Kontsulta osatu
		$taula = 'taxo_categoria';
		$eremuak = 'taxocat_ID,taxocat_titulo1,taxocat_titulo2,taxocat_orden'; 

		$kontsulta = "SELECT ". $eremuak . " FROM " . $taula;  
		if ($zebaldintza!='') {
			$kontsulta = $kontsulta . " " . $zebaldintza;
		}
		$kontsulta = $kontsulta . ' ORDER BY taxocat_orden';

		if ($zebaldintza=='') {
			$baloreak = array();
		}

		$db = new Datubasea();   
		$db->konektatu();     
		$kategoriak = $db->select($kontsulta,$baloreak);        
		$db->deskonektatu();
		unset($db);

		return $kategoriak;

	}
	
	// TAXONOMIA lista bueltatu
	public function taxonomia_lista($zebaldintza='',$baloreak='') {

		// Kontsulta osatu
		$taula = 'taxo_categoria,taxonomia';
		$eremuak = 'taxocat_ID,taxocat_titulo1,taxocat_titulo2,taxocat_orden,taxonomia_ID,taxonomia_titulo1,taxonomia_titulo2,taxonomia_categoria,taxonomia_orden'; 

		$kontsulta = "SELECT ". $eremuak . " FROM " . $taula;  
		if ($zebaldintza!='') {
			$kontsulta = $kontsulta . " " . $zebaldintza;
		}
		$kontsulta = $kontsulta . ' ORDER BY taxocat_orden,taxonomia_orden';

		if ($zebaldintza=='') {
			$baloreak = array();
		}

		$db = new Datubasea();   
		$db->konektatu();     
		$taxonomiak = $db->select($kontsulta,$baloreak);        
		$db->deskonektatu();
		unset($db);

		return $taxonomiak;

	}

	// Devuelve URL ACTUAL para REDIRECCIONAMIENTOS
	public function url_actual() {

		$domain = $_SERVER['HTTP_HOST'];  
		$url = "http://" . $domain . $_SERVER['REQUEST_URI'];  

		return $url;  

	} 


	// OTRAS FUNCIONES AUXILIARES
	public function encrypt($string, $key) {
		$result = '';
		for($i=0; $i<strlen($string); $i++) {
			$char = substr($string, $i, 1);
			$keychar = substr($key, ($i % strlen($key))-1, 1);
			$char = chr(ord($char)+ord($keychar));
			$result.=$char;
		}
		return base64_encode($result);
	}  

	public function decrypt($string, $key) {
		$result = '';
		$string = base64_decode($string);
		for($i=0; $i<strlen($string); $i++) {
			$char = substr($string, $i, 1);
			$keychar = substr($key, ($i % strlen($key))-1, 1);
			$char = chr(ord($char)-ord($keychar));
			$result.=$char;
		}
		return $result;
	}

	// FUNCIÓN que devuelve la LLAVE para invocar a SERVICIOS
	public function calcular_llaveservicios() {

		$data = new Fecha();
		$data->sacarfecha();
		$urte = $data->urte;
		$hila = $data->hila;
		$egun = $data->egun;
		unset ($data);

		$kontsulta = "SELECT xml_key FROM xml_key LIMIT 1";	 
		$baloreak = array(); 

		$db = new Datubasea();   
		$db->konektatu();     
		$giltza = $db->select($kontsulta,$baloreak);        
		$db->deskonektatu();
		unset($db);

		$lafecha = $egun.$hila.$urte;
		$key = $giltza[0]['xml_key'];

		$la_llave = $this->encrypt($lafecha,$key);

		return $la_llave;

	}
	
	// 13digito
	public function ean13b($cadena) {

		$impares = 0;
		$pares = 0;

		$cadena = strrev($cadena);
		$i = 0;
		while($i < strlen($cadena))	{
			if($i%2 == 0) $impares += $cadena[$i];
			else $pares += $cadena[$i];
			$i++;
		}
		$suma = $pares + ($impares*3); 
		$valor = 10 -($suma%10);
		if ($valor == 10) $valor = 0;
		return $valor;

	}


}		
?><?
//PROTECCION PAGINAS PRIVADAS
$ezkonektatu = 'inicio.htm';
if ($idioma == 2) $ezkonektatu = 'hasiera.htm';
		
//REDIRIGIR
$pagina_publica = 0;
$controladores_publicos = unserialize (CONTROLADORES_PUBLICOS);
if (in_array($el_controlador, $controladores_publicos)) $pagina_publica = 1;

//SI NO ES PUBLICA, Y NO VALIDA CARGAR CONTROLADOR POR DEFECTO
if ($pagina_publica == 0) {
	
	$conexion_valida = 1; //en principio
	
	//VALIDAR CONEXIÓN
	if (isset(XXXXXXXXX['usuario_tarjeta_bm']) === FALSE) {
			$conexion_valida = 0;
	} else {

		$kodea = New Codigo();
		
		$erabiltzaile = new Usuario();
		$laipbabesa = $erabiltzaile->IPusuario();
        
        //MARZO 2024 WAF
        $laipbabesa = explode(',',$laipbabesa)[0];

		$sesionvalida = false;
		$sesionvalida = $erabiltzaile->sesion_valida_tarjeta($kodea->desencriptar(XXXXXXXXX['usuario_tarjeta_bm']),$kodea->desencriptar(XXXXXXXXX['ordua_tarjeta_bm']),$laipbabesa); 
		unset($erabiltzaile);
		
		if ($sesionvalida === FALSE || $kodea->desencriptar(XXXXXXXXX['usuario_tarjeta_bm']) <= 0) {
		$conexion_valida = 0;
			
		unset($kodea);  
		}
	}
	
	//SI NO VALIDA CARGAR CONTROLADOR POR DEFECTO
	if ($conexion_valida != 1) {
		
		$el_controlador = CONTROLADOR_DEFECTO;
	
		//DESTRUYO LAS SESIONES DE CONEXION POR SI ACASO
		XXXXXXXXX['entarjeta_bm'] = 'fuera';

		unset(XXXXXXXXX['entarjeta_bm']);
		
		unset(XXXXXXXXX['usuario_tarjeta_bm']);
		unset(XXXXXXXXX['nombre_tarjeta_bm']);
		unset(XXXXXXXXX['apellido1_tarjeta_bm']);
		unset(XXXXXXXXX['apellido2_tarjeta_bm']);
		unset(XXXXXXXXX['nombrecorto_tarjeta_bm']);
		unset(XXXXXXXXX['super_tarjeta_bm']);
		unset(XXXXXXXXX['nick_tarjeta_bm']);
		unset(XXXXXXXXX['dni_tarjeta_bm']);
		unset(XXXXXXXXX['visitado_tienda_bm']);
		unset(XXXXXXXXX['email_tarjeta_bm']);
		unset(XXXXXXXXX['la_tarjeta_bm']); 
		
		unset(XXXXXXXXX['latienda_bm']);
		unset(XXXXXXXXX['latiendaID_bm']);
		unset(XXXXXXXXX['latiendausualID_bm']);
		
		unset(XXXXXXXXX['ip_tarjeta_bm']);
		unset(XXXXXXXXX['ordua_tarjeta_bm']);
		
	} //no valida
	
		
} //si no es publia

?>