1

Fala galera eu estou com um probleminha, estou fazendo um sistema que gera pontos para os membros só que para gerar ele tem que esperar por 30 segundos em uma pagina especifica, depois desses 30 segundos eu uso (script) para chamar esse arquivo. até ai tudo bem, mais sempre tem um espertinho que gosta de vasculhar o código fonte e se ele achar o arquivo que está no script ai já era ele vai colocar no navegador e ficar dando enter e gerando pontos sem esperar os 30 segundos.

E ai alguém tem alguma dica de como eu posso bloquear esse arquivo, para que ele só funcione via js e nessa pagina especifica.


eu fiz o teste assim coloquei no .htaccess

<FilesMatch "gerapontos\.php$>
order allow,deny
deny from all
</filesmatch>

ele bloquei na hora, mais tb bloquei para mim chamar ele via js. :(

4
  • Está a mandar algum dado via js? pode colocar o codigo que faz isso sff
    – Miguel
    Commented 13/07/2016 às 16:53
  • sim uso, isso..<script> $.get('gerapontos.php', function(data) { });</script> Commented 13/07/2016 às 17:32
  • Isso aí você tem que proteger do lado do PHP, não tem como esconder nada que vai para o browser. Vide respostas do link acima, e postagens vinculadas e relacionadas no link descrito na margem direita da página. Use sessões no PHP ao logar o usuário, e anote na sessão o gmtime() da ultima requisição. Se o intervalo for menor que 30s, não permita o acréscimo,.
    – Largato
    Commented 13/07/2016 às 18:13

2 Respostas 2

2

Tem aqui duas alternativas que dificultam bastante essa tarefa do "espertinho que gosta de vasculhar o código fonte" para este contexto.

1 - Aqui garante que só pode gerar de 30 em 30 secs:

gerapontos.php:

session_start();
if(!isset($_SESSION['last_time'])) {
    $_SESSION['last_time'] = time();
}

if(time() - $_SESSION['last_time'] > 30) {
    //gerar pontos
    $_SESSION['last_time'] = time();
}

2 - Aqui garante que o utilizador tem de ir à pag inicial e receber pontos só de 30 em 30 secs. Na página principal:

session_start();
$_SESSION['token'] = md5(time());
if(!isset($_SESSION['last_time'])) {
    $_SESSION['last_time'] = time();
}

No js faça post em vez de get:

$.post("gerapontos.php", {token: "<?= $_SESSION['token']; ?>"});

gerapontos.php:

if(isset($_POST['token'], $_SESSION['token']) && $_POST['token'] == $_SESSION['token']) {

    if(isset($_SESSION['last_time']) && time() - $_SESSION['last_time'] > 30) {
       // gerar pontos
       unset($_SESSION['token']);
       $_SESSION['last_time'] = time();
    }
}

Tal como @Bacco referiu aqui uma resposta mais completa, mas para um assunto não tão simples como este

0
0

Você pode enviar um POST com uma "chave" e verificar na página que gera os pontos. Se a chave estiver correta, gera. Senão, envia para outra página ou apresenta um erro.

3
  • como seria isso?, tipo eu passo um md5 gerapontos.php?chave=89as7da57asd5asd89gs09 Commented 13/07/2016 às 17:33
  • Nesse seu exemplo seria um GET, não POST, mas também pode ser. Este artigo pode te dar uma ideia melhor elaborada para prevenir que burlem seu sistema.
    – Eduardo
    Commented 13/07/2016 às 17:45
  • certo, vou tentar fazer,, em conjunto com a do Miguel.. Commented 13/07/2016 às 18:06

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .