1

Galea estou usando o o plugin auto complete do Jquery. Ele funciona perfeitamente. Uso o jquery para chamar um arquivo php que faz a consulta no Bando de dados.

Chamo ele assim:

 $("#auto").autocomplete("Busca/Cadastros.php", {
        width: 500,
        multiple: false,
        matchContains: true,
        formatItem: formatItem,
        formatResult: formatResult
  }); 

O problema e que se eu digitar o caminho do arquivo ('caminho/Busca/Cadastros.php') no browser ele abre a consulta no BD. Como faço para bloquear esse arquivo? ou seja não ser possível abrir ele pelo navegador e que apenas meu jquery abra ele.

Alguém sabe como fazer isso?

14
  • 1
    Impossível isso. Se o JS acessa, sempre é possível acesso direto.
    – Largato
    24/11/2016 às 12:29
  • 1
    @VirgilioNovic nada impede de eu requisitar um post sem ser pela página. Tudo que o JS acessa, o usuário acessa direto. Sem exceção. Todo cabeçalho é gerado do lado do cliente, não tem como diferenciar uma requisição verdadeira de uma falsa. O máximo que dá pra fazer é enganar curioso (curiosos não sabem como fazer isso, simular requisições).
    – Largato
    24/11/2016 às 12:31
  • 1
    mas se eu restringir para que o post so aceite requisição do próprio site, isso não resolve? 24/11/2016 às 12:33
  • 1
    @HugoBorges o site não requisita, quem requisita é o navegador do usuário. Você só pode dificultar, mas não tem como impedir.
    – Largato
    24/11/2016 às 12:33
  • 2
    @HugoBorges eu não tenho muito mais como ajudar, acho que vc já entendeu que o problema é que vc tem que confiar no que o browser tá mandando. O que dá pra fazer são outras coisas, como limitar o numero de requisições e retorno por IP por hora pra ninguem baixar sua base toda de uma vez. Sites grandes como o dos correios não conseguem evitar bots, imagine nós "mortais". De qq forma, usar post. tokens etc pode ajudar a espantar curioso. Ao menos o pessoal fuçador não pega os dados. Mas qq um que saiba usar um CURL ou um socket básico simula tudo isso.
    – Largato
    24/11/2016 às 12:41

2 Respostas 2

2

Se essa requisição for POST no PHP você pode fazer antes de tudo:

if($_SERVER['REQUEST_METHOD'] == 'POST'){

   // Todo seu código

}

Dessa forma por GET ele não vai poder acessar a URL pela barra de endereços do navegador. Mas estou vendo outras formas também, visto que alguém pode fazer um CURL POST nessa URL.

Para verificar se a requisição é AJAX:

if(!empty($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest') {

   // É Ajax, faça seu código aqui.

}

Seria bom seu autocomplete fazer a requisição POST.

É difícil pensar em todas as verificações, sempre haverá uma forma de burlar os processos. Evite o que você sabe e não se preocupe tanto com outras coisas.

Backup existe pra isso. Restore também, que é mais importante que o backup em si.

Seu código via POST e para enviar mais parâmetros no POST:

No parâmetro data você define mais variáveis. Lembrando que o term é o passado para o PHP fazer a busca.

$("#birds").autocomplete({
    source: function (request, response) {
        $.ajax({
            type: "POST",
            url:"Busca/Cadastros.php",
            data: { 
                 term: request.term,
                 outra_variavel: valor_outra_variavel
            },
            success: response,
        },
    },
    width: 500,
    multiple: false,
    matchContains: true,
    formatItem: formatItem,
    formatResult: formatResult
});
10
  • sim, atualmente estou usando GET. Tem alguma forma de bloquear esta página via htacess para responder apenas ao ip do meu servidor? 24/11/2016 às 12:29
  • como falei no outro comentario acho que dessa forma o usuário pode fazer um CURL POST. 24/11/2016 às 12:43
  • Ao menos que você verifique se a requisição é AJAX, como postei. 24/11/2016 às 12:44
  • estou tendo fazer aqui. como faço para o jquery mandar um requisição Ajax? 24/11/2016 às 12:59
  • 1
    @HugoBorges lembrando que por CURL dá pra mandar tanto o método igual do Ajax, como o HTTP_REFERER pra parecer que a origem é do seu site. Um curioso não consegue, mas alguém que consiga usar o console do browser ou alguma linguagem de programação continua acessando (mas é melhor do que nada)
    – Largato
    24/11/2016 às 13:23
-1

O ideal é você não colocar os arquivos do servidor (ou seja, o PHP) dentro da mesma pasta ou em pastas "filhas" na aplicação. Nesse caso, o caminho seria o seguinte:

$("#auto").autocomplete("../Busca/Cadastros.php", {
        width: 500,
        multiple: false,
        matchContains: true,
        formatItem: formatItem,
        formatResult: formatResult
  });

Mas é claro, você precisa limitar o acesso a qualquer coisa fora desse escopo. Dessa forma, não importa se o acesso é feito por GET ou POST, se o usuário tentar um acesso direto, ele não vai conseguir.

9
  • 1
    O "usuário" não pode remover o ../? 24/11/2016 às 12:36
  • Esse é o caminho onde o php está. O ".." significa que o arquivo está uma pasta acima do local atual (relativo ao js que está chamando o php), portanto você precisaria modificar também o local do seu arquivo php. A maneira mais segura de proteger o acesso é que só o sistema consiga acessar quando você for hospedar. 24/11/2016 às 12:43
  • 1
    Errado, Gumball. Baseando-se nesse site: khalil-shreateh.com/khalil.shtml/index.php/websites/… 24/11/2016 às 12:49
  • 2
    Esqueci do quote do site: "The best way to prevent direct access to files is to place them outside of the web-server document root (usually, one level above). You can still include them, but there is no possibility of someone accessing them through an http request." O que ele diz é exatamente a minha resposta: a melhor maneira de prevenir acesso direto é colocar os arquivos fora da pasta-raiz do web-server, geralmente um nível acima. Você ainda consegue dar include, mas não há possibilidade de alguém acessar via http request. 24/11/2016 às 12:52
  • 1
    @CleitonOliveira essa solução é boa se for algo pra um include de PHP, mas no caso, como é JS, precisa estar dentro da raiz do site senão nem o browser acessa.
    – Largato
    24/11/2016 às 12:59

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .