<?php
session_start();
header('Content-Type: application/json');

if (!isset($_SESSION['usuario']) || !isset($_SESSION['token'])) {
    echo json_encode(['ok' => false, 'mensaje' => 'Sesión inválida']); exit;
}

require 'conexion.php';            // <-- usa tu mismo archivo de conexión

// Verificamos que el token guardado en la BD coincide
$sql = "SELECT token FROM Usuarios WHERE usuario = ?";
$stmt = $conn->prepare($sql);
$stmt->bind_param("s", $_SESSION['usuario']);
$stmt->execute();
$res = $stmt->get_result();
if ($res->num_rows !== 1 || $res->fetch_assoc()['token'] !== $_SESSION['token']){
    session_unset(); session_destroy();
    echo json_encode(['ok' => false, 'mensaje' => 'Sesión inválida']); exit;
}

// --- Actualizar ---
/*
   Deshabilita (habilitado = 0) a todos los usuarios
   cuyo tipo de acceso NO sea 'ADMIN'.
   Ajusta los nombres de columnas si difieren.
*/
$upd = "
UPDATE Usuarios
SET habilitado = 0
WHERE acceso_id <> 'ADMIN'
";

if ($conn->query($upd)) {
    echo json_encode(['ok' => true, 'mensaje' => 'Todos los usuarios fueron deshabilitados']);
} else {
    echo json_encode(['ok' => false, 'mensaje' => 'Error al actualizar']);
}
