// কুয়েরি পরিবর্তন করো: অ্যাডমিন হলে ব্রাঞ্চ চেক করবে না, ইউজার হলে করবে
$username = $conn->real_escape_string($_POST['username']); // সিকিউরিটি যোগ করা হলো
$sql = "SELECT * FROM users WHERE username='$username' LIMIT 1";
$result = $conn->query($sql);

if($result && $result->num_rows == 1){
    $row = $result->fetch_assoc();

    // পাসওয়ার্ড চেক (md5 এর বদলে password_verify নিরাপদ)
    if(md5($password) == $row['password']){
        
        // অ্যাডমিন এক্সেস চেক
        // $branch_id টিও intval() দিয়ে ক্লিয়ার করে নেওয়া ভালো
        $branch_id = intval($_POST['branch_id']); 
        
        if ($row['role'] == 'admin' || (int)$row['branch_id'] === $branch_id) {
            
            if (session_status() === PHP_SESSION_NONE) { session_start(); } // সেশন শুরু নিশ্চিত করো
            
            $_SESSION['admin_id']    = $row['id'];
            $_SESSION['admin_name']  = $row['admin_name'] ?? $row['username'];
            $_SESSION['username']    = $row['username'];
            $_SESSION['role']        = $row['role'];
            
            // ব্রাঞ্চ আইডি সেট করা
            $_SESSION['branch_id']   = ($row['role'] == 'admin') ? $branch_id : (int)$row['branch_id'];

            header("Location: dashboard.php");
            exit;
        } else {
            header("Location: login.php?error=" . urlencode("আপনি এই ব্রাঞ্চের অনুমোদিত ইউজার নন!"));
            exit;
        }
    } else {
        header("Location: login.php?error=" . urlencode("ভুল পাসওয়ার্ড!"));
        exit;
    }
} else {
    header("Location: login.php?error=" . urlencode("ইউজারনেমটি পাওয়া যায়নি!"));
    exit;
}