0

Estou criando uma mini API para fazer consultas em json utilizando ajax, e estou enfrentando alguns problemas de segurança.

A API já esta pronta e esta retornando os dados corretamente.

O problema esta no arquivo que faz a consulta, eu preciso proteger ele para evitar que algum usuário faça muitas requisições ao mesmo tempo, pois trata-se de um sistema de consultas de CPF que necessita de créditos para ter o retorno dos dados, e a cada consulta ele desconta 1 crédito.

Se alguém utilizar esse script para consultar vários CPF, seria um grande problema.

O script inicial ficou assim:

consulta.js

function buscarDados(cpf){ 
    if(getCookie('tipo') == 1 || getCookie('tipo') == 2){
        recarregaDados();
        $("#divLoading").hide();
        return true;
    }
    $.ajax({        
        type: "GET",        
        dataType: 'json',   
        async: false,      
        url: "buscar.php?cpf=" + cpf,       
        success: function(data){
            if(data.status == 1){
                setCookie('dadosNome', data.nome, 1);
                setCookie('dadosSexo', data.genero, 1);
                setCookie('dadosNascimento', data.nascimento, 1);
                var nome = data.nome;   
                if(data.genero == 'M')
                    $("#sexo").val('Masculino');
                else
                    $("#sexo").val('Feminino');
                var tmp = nome.split(" ");          
                nome = tmp[0];          
                $("#datadenascimento").val(data.nascimento);            
                $("#inputFirstName").val(tmp[0]);           
                $("#inputLastName").val('');
                for(i = 1; i < tmp.length; i++){
                    if($("#inputLastName").val() != '')
                        $("#inputLastName").val($("#inputLastName").val() + ' ');
                    $("#inputLastName").val($("#inputLastName").val() + tmp[i]);
                }
                $("#nomeCPF").html(nome);     
                $("#divLoading").hide();
            }else{
                if(data.erroCodigo == '102')
                    alert("O CPF informado não existe nas bases de dados da Receita Federal!");
                else
                    alert("Não foi possível realizar a verificação do seu CPF.");
                setCookie('tipo', 0);
                window.location.reload();
                window.reload();
            }
        }, //END success        
        error: function(e){         
            alert("Oops! Não foi possível realizar a verificação do seu CPF.");  
            setCookie('tipo', 0);
            window.location.reload();
            window.reload();    
        } // END error    
    }); // END $.ajax
    return true;
}

O arquivo que realiza a consulta na API ficou dessa forma:

buscar.php

    if($_SERVER['HTTP_REFERER'] == 'url_que_faz_a_consulta' and $_GET['cpf']){

    if(isset($_GET['cpf'])){
        $url = 'https://url_api/cpf/' . $_GET['cpf'];
        $ch = curl_init($url);
        curl_setopt($ch, CURLOPT_TIMEOUT, 5);
        curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 5);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        $data = curl_exec($ch);
        curl_close($ch);
        echo $data;
    }

} else {

include("404.php");
exit;
}

Quando o usuário preenche o CPF no formulário, ele vai retornar os dados e já preencher no formulário de forma automática.

Como eu poderia proteger esse arquivo PHP para bloquear qualquer tentativa de realizar várias consultas ao mesmo tempo?

Eu já possuo um recaptcha, mas ele protege somente no formulário. Se o usuário pegar a URL do php que faz a consulta, ele conseguirá faze-la, então teria que achar uma forma de fazer essa validação diretamente no PHP.

Eu coloquei uma pequena validação do HTTP_REFERER, mas não é seguro o suficiente uma vez que o Referer pode ser alterado facilmente.

Alguma ideia do que pode ser feito/implementado? Sessões, limitar consultas por IP? Como ficaria?

1

1 Resposta 1

-1

Já pensou em uma Entidade(Tabela) USER com as credenciais e a quantidade de Crédito de cada usuário?, ou seja, antes de fazer a pesquisa FINAL, o script verifica se o usuário está cadastrado e se sua quantidade de créditos é maior que 0. Caso o usuário esteja cadastrado e tenha créditos suficientes, executa a pesquisa do CPF.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .