Não tenho muito conhecimento quando o assunto é ajax
, prefiro realizar as validações no back-end, deixo para o front-end o papel puro de interface, o resto, como validações prefiro no server-side.
Vou responder da forma que geralmente faço com minhas requisições, não só quando se trata de ser ajax
.
Utilizo o sistema de token
, um token
é gerado quando a página é chamada, e acrescentado ao um input
do tipo hidden, eu envio ele com ajax
juntamente com os outros dados, já no php
eu válido esse token
várias vezes para ver se o token é válido.
Montei um pequeno exemplo rápido para ver que mesmo tendo conhecimento do sistema não é possível invadi-lo, segue a descrição de cada arquivo:
index.php: responsável por exibir o formulário de cadastro de pessoa, a listagem de pessoas cadastradas, nele eu gero um token no inicio da página, e o atribuo em um campo do tipo hidden, há também o ajax responsável por enviar os dados.
<?php
include 'Pessoa.php';
$_SESSION['token'] = crypt("MyAppIDKey" . time() . "MyTokenSecurity");
?>
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8" />
<title>Segurança Ajax</title>
<script src="jquery.min.js"></script>
</head>
<body>
<form class="myForm" method="get">
<p>
<label>Nome: </label>
<input type="text" name="nome" />
</p>
<p>
<label>Idade: </label>
<input type="number" name="idade" />
</p>
<p>
<label>E-mail: </label>
<input type="email" name="email" />
</p>
<p>
<input type="hidden" name="token" value="<?php echo $_SESSION['token']; ?>" />
<input type="submit" value="Enviar" />
<input type="reset" value="Limpar" />
</p>
</form>
<div class="result"></div>
<?php if(isset($_SESSION['pessoas']) and !empty($_SESSION['pessoas'])): ?>
<table>
<thead>
<tr>
<th>Nome</th>
<th>Idade</th>
<th>Email</th>
</tr>
</thead>
<tbody>
<?php foreach ($_SESSION['pessoas'] as $pessoa): ?>
<tr>
<td><?php echo $pessoa->getNome(); ?></td>
<td><?php echo $pessoa->getIdade(); ?></td>
<td><?php echo $pessoa->getEmail(); ?></td>
</tr>
<?php endforeach; ?>
</tbody>
</table>
<?php endif;?>
<script>
$(function()
{
$("form.myForm").submit(function()
{
$.ajax(
{
type: "GET",
url: "callMyController.php",
data:
{
nome: $("input[name = nome]").val(),
idade: $("input[name = idade]").val(),
email: $("input[name = email]").val(),
token: $("input[name = token]").val()
},
success: function(result)
{
if(result == "ok")
{
alert("Pessoa cadastrada!");
}
else
{
alert("Erro: " + result);
}
}
});
});
});
</script>
</body>
</html>
callMyController.php: seria seu framework
ou arquitetura padrão, mas no caso coloquei ele para não ter de criar uma arquitetura, é esse arquivo que o ajax
envia a requisição, nele eu apenas valido o token
pela primeira vez e envio o array
de dados GET
para meu controlador:
<?php
require_once 'MyController.php';
if(isset($_GET['token']) and $_GET['token'] === $_SESSION['token'])
{
$mc = new MyController();
$mc->cadastrar($_GET);
}
else
echo "Erro no acesso";
MyController.php: Nessa classe tenho a comunicação entre a visão e o model
, é feita a mesma validação do token
, tento colocar os dados digitados na classe do model
(nos setters
há mais validações), e por fim tento cadastrar essa pessoa, se obtive sucesso ao cadastrar eu exibo um ok
como retorno para o ajax
, se não pego a exceção de validação que foi lançada:
<?php
require_once 'Pessoa.php';
class MyController
{
private $myModel = null;
public function __construct()
{
$this->myModel = new Pessoa();
}
public function cadastrar($data)
{
if($data['token'] === $_SESSION['token'])
{
try
{
$this->myModel->setNome($data['nome']);
$this->myModel->setEmail($data['email']);
$this->myModel->setIdade($data['idade']);
if($this->myModel->inserirPessoa())
echo "ok";
}
catch (Exception $e)
{
echo $e->getMessage();
}
}
}
}
Pessoa.php: representa o objeto Pessoa, onde possuo os atributos presentes no formulário, seus getters
e setters
com validações e um método de cadastrar uma nova pessoa, que no exemplo apenas tenta colocar essa pessoa em um array
de sessão que representa meu banco de dados:
<?php
session_start();
session_name(crypt("MyAppIDKey"));
class Pessoa
{
private $nome;
private $email;
private $idade;
public function __construct()
{
if(!isset($_SESSION['pessoas']))
$_SESSION['pessoas'] = array();
}
public function setNome($nome)
{
if(!stripos(mb_strtolower($nome), " and ") and !stripos(mb_strtolower($nome), " or "))
$this->nome = $nome;
else
throw new Exception("Nome inválido");
}
public function setEmail($email)
{
if(filter_var($email, FILTER_VALIDATE_EMAIL))
$this->email = $email;
else
throw new Exception("Email inválido");
}
public function setidade($idade)
{
if(filter_var($idade, FILTER_VALIDATE_INT))
$this->idade = $idade;
else
throw new Exception("Idade inválida");
}
public function getNome()
{
return $this->nome;
}
public function getIdade()
{
return $this->idade;
}
public function getEmail()
{
return $this->email;
}
public function inserirPessoa()
{
try
{
array_push($_SESSION['pessoas'], $this);
return true;
}
catch (Exception $e)
{
throw new Exception($e->getMessage());
}
}
}
Por fim, mas não menos importante, coloquei um arquivo chamado invadir.php, onde tento fazer uma invasão no sistema acrescentando um dado novo, isso seria a ação de um ataque de inserção, onde o invasor lota o banco de dados com informações inúteis, podendo fazer até coisas piores, como tentar uma SQL Injection automática, pois normalmente a invasão não é feita de um em um dado, e sim usando uma estrutura de repetição.
<?php
$_SESSION['token'] = crypt("MyAppIDKey" . time() . "MyTokenSecurity");
?>
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8" />
<title>Tentando invadir</title>
<script src="jquery.min.js"></script>
</head>
<body>
<p>
<label>Token: </label>
<input type="text" name="token" value="<?php echo $_SESSION['token']; ?>" />
</p>
<p><a href="#" class="tryHack" >Invadir</a></p>
<div class="result"></div>
<script>
$(function()
{
$("a.tryHack").click(function()
{
$.ajax(
{
type: "GET",
url: "callMyController.php",
data:
{
nome: "dado01",
idade: "15",
email: "[email protected]",
token: $("input[name = token]").val()
},
success: function(result)
{
if(result == "ok")
{
alert("Pessoa cadastrada!");
}
else
{
$("div.result").html(result);
}
}
});
});
});
</script>
</body>
</html>
Observações:
- Foi usado o
crypt
para a criptografia, poderia usar outros métodos,
como o md5
(que não é criptografia);
- Poderia ter mais validações, como ao chegar no
callMyController.php gerar outro token de validação para validar com o controlador e no contralodor ser gerado outro a fim de
ser validado no
model
.
- Utilizei o método
GET
apenas para tornar um pouco mais sujeito a
invasões caso alguém queria tentar testar invasões via URL. Lembrando
que é recomendável o método POST
para esse tipo de transporte de
dados.