Estou criando uma mini API para fazer consultas em json
utilizando ajax
, e estou enfrentando alguns problemas de segurança.
A API já esta pronta e esta retornando os dados corretamente.
O problema esta no arquivo que faz a consulta, eu preciso proteger ele para evitar que algum usuário faça muitas requisições ao mesmo tempo, pois trata-se de um sistema de consultas de CPF que necessita de créditos para ter o retorno dos dados, e a cada consulta ele desconta 1 crédito.
Se alguém utilizar esse script para consultar vários CPF, seria um grande problema.
O script inicial ficou assim:
consulta.js
function buscarDados(cpf){
if(getCookie('tipo') == 1 || getCookie('tipo') == 2){
recarregaDados();
$("#divLoading").hide();
return true;
}
$.ajax({
type: "GET",
dataType: 'json',
async: false,
url: "buscar.php?cpf=" + cpf,
success: function(data){
if(data.status == 1){
setCookie('dadosNome', data.nome, 1);
setCookie('dadosSexo', data.genero, 1);
setCookie('dadosNascimento', data.nascimento, 1);
var nome = data.nome;
if(data.genero == 'M')
$("#sexo").val('Masculino');
else
$("#sexo").val('Feminino');
var tmp = nome.split(" ");
nome = tmp[0];
$("#datadenascimento").val(data.nascimento);
$("#inputFirstName").val(tmp[0]);
$("#inputLastName").val('');
for(i = 1; i < tmp.length; i++){
if($("#inputLastName").val() != '')
$("#inputLastName").val($("#inputLastName").val() + ' ');
$("#inputLastName").val($("#inputLastName").val() + tmp[i]);
}
$("#nomeCPF").html(nome);
$("#divLoading").hide();
}else{
if(data.erroCodigo == '102')
alert("O CPF informado não existe nas bases de dados da Receita Federal!");
else
alert("Não foi possível realizar a verificação do seu CPF.");
setCookie('tipo', 0);
window.location.reload();
window.reload();
}
}, //END success
error: function(e){
alert("Oops! Não foi possível realizar a verificação do seu CPF.");
setCookie('tipo', 0);
window.location.reload();
window.reload();
} // END error
}); // END $.ajax
return true;
}
O arquivo que realiza a consulta na API ficou dessa forma:
buscar.php
if($_SERVER['HTTP_REFERER'] == 'url_que_faz_a_consulta' and $_GET['cpf']){
if(isset($_GET['cpf'])){
$url = 'https://url_api/cpf/' . $_GET['cpf'];
$ch = curl_init($url);
curl_setopt($ch, CURLOPT_TIMEOUT, 5);
curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 5);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
$data = curl_exec($ch);
curl_close($ch);
echo $data;
}
} else {
include("404.php");
exit;
}
Quando o usuário preenche o CPF no formulário, ele vai retornar os dados e já preencher no formulário de forma automática.
Como eu poderia proteger esse arquivo PHP para bloquear qualquer tentativa de realizar várias consultas ao mesmo tempo?
Eu já possuo um recaptcha, mas ele protege somente no formulário. Se o usuário pegar a URL do php que faz a consulta, ele conseguirá faze-la, então teria que achar uma forma de fazer essa validação diretamente no PHP.
Eu coloquei uma pequena validação do HTTP_REFERER
, mas não é seguro o suficiente uma vez que o Referer pode ser alterado facilmente.
Alguma ideia do que pode ser feito/implementado? Sessões, limitar consultas por IP? Como ficaria?