<?php
session_start();

// Usar require_once para evitar inclusiones múltiples
require_once "conexion.php"; 
// include "controlador.php"; // Esto se removió porque causa recursión

if (!empty($_POST["btnacc"])){
    if(!empty($_POST["username"]) and !empty($_POST["password"])){
        
        // Limpiar las entradas usando tu función limpiar()
        $usuario = limpiar($_POST['username']);
        $password = limpiar($_POST['password']);
        
        // Usar consultas preparadas para prevenir SQL injection
        $sql = "SELECT * FROM accounts WHERE username = ? AND con = ?";
        $stmt = mysqli_prepare($conexion, $sql);
        
        if ($stmt) {
            mysqli_stmt_bind_param($stmt, "ss", $usuario, $password);
            mysqli_stmt_execute($stmt);
            $resultado = mysqli_stmt_get_result($stmt);
            $fila = mysqli_fetch_assoc($resultado);
            
            if ($fila) {
                $_SESSION["loggedin"] = TRUE;
                $_SESSION["id"] = $fila['id'];
                $_SESSION["name"] = $fila['nombre'] . " " . $fila['apellidos'];
                $_SESSION["usu"] = $fila['username'];
                $_SESSION["email"] = $fila['email'];          
                
                header("Location: inicio.php");
                exit;
            } else {
                echo "<div style='color: red; text-align: center; padding: 10px;'>Acceso denegado - Usuario o contraseña incorrectos</div>";            
            }
            
            mysqli_stmt_close($stmt);
        } else {
            echo "<div style='color: red; text-align: center; padding: 10px;'>Error en la consulta: " . mysqli_error($conexion) . "</div>";
        }
        
    } else {
        echo "<div style='color: red; text-align: center; padding: 10px;'>Por favor, rellene ambos campos</div>";        
    }
}
?>