2

Tenho uma aplicação para gestão de cursos, nela são feitas diversas requisições via ajax que são processadas em segundo plano: getListCurso(), findDisciplinaById(), deleteAluno(), etc.

Porém qualquer pessoa pode ir via get e executar uma mesma função quantas vezes quiser, basta digitar no navegador:

/meusite/curso/getListCurso/

/meusite/disciplina/findDisciplinaById/2/

/meusite/aluno/deleteAluno/20/

Eu gostaria que essas funções fossem executadas apenas se a requisição vier da página construida pra cada função

7
  • Quando digo requisição indesejada estou falando do cara digitar no navegador o caminho de uma função, gostaria que isso só pudesse ser feita via a página da aplicação Commented 26/05/2016 às 0:24
  • 1
    Para simplificar, sugeriria você gerar um token na página que consome a API, e verificar se o token na requisição é válido. Ou, se o serviço for consumido por um usuário logado, verificar se é uma sessão válida na própria API.
    – Largato
    Commented 26/05/2016 às 0:37
  • 1
    Uma alternativa é deixar qualquer um requisitar o que quiser, mas a cada requisição do mesmo IP ir aumentando o intervalo entre as respostas, de forma a evitar abusos. A melhor técnica depende muito do que você está tentando proteger.
    – Largato
    Commented 26/05/2016 às 0:42
  • Não estou procurando nada complexo, basta que a requisiçao seja feita via os formulários da aplicação Commented 26/05/2016 às 1:00
  • 1
    Sempre lembrando que sempre o "atacante" vai poder simular o usuário, e aí usar sua API. Essas dicas acima só funcionam pra diminuir a superfície de ataque. Quase tudo que o usuário pode fazer, uma aplicação também pode, e praticamente não tem como evitar (até daria pra resolver Captcha em alguns casos). Se obrigar ao menos o usuário a se autenticar, pelo menos fica mais fácil detectar abusos, e/ou limitar o número de operações × tempo.
    – Largato
    Commented 26/05/2016 às 1:39

0

Pesquise outras perguntas com a tag .