3

Uso Volley para fazer requisição POST a uma url que retorna dados do usuario... Mas da para ver esses dados, criando um simples formulario html com action setado para a url 192.168.0.101/projeto/user.php . Ai mostra todo o JSON... como evitar que o cara veja esses dados sem prejudicar o app quando for listar esses dados no recyclerview? OBS: Usei header("Location: www.teste.com"); e redireciona sem mostrar o JSON ao possivel "hacker", MAS nao lista os dados no app

PHP:

<?php
require_once('config.php');
require_once 'classes/BD.class.php';
BD::conn();
if(isset($_POST['user']) && $_POST['user'] != ""){
    $user = (int)$_POST['user'];
    $searchPhotos = BD::conn()->prepare("SELECT * FROM `photos` WHERE `id_user` = ? ORDER BY `id` DESC");
    $searchPhotos->execute(array($user));
    $resultPhotos = $searchPhotos->rowCount();

    $searchQtdFollowers = BD::conn()->prepare("SELECT id FROM `follows` WHERE `user` = ?");
    $searchQtdFollowers->execute(array($user));
    $resultFollowers = $searchQtdFollowers->rowCount();

    $searchQtdFollowing = BD::conn()->prepare("SELECT id FROM `follows` WHERE `follower` = ?");
    $searchQtdFollowing->execute(array($user));
    $resultFollowing = $searchQtdFollowing->rowCount();         

    $array = array(
            "photos" => $resultPhotos,
            "followers" => $resultFollowers,
            "following" => $resultFollowing
            );
    $result[] = array_map("utf8_encode", $array);
    while($data = $searchPhotos->fetch(PDO::FETCH_ASSOC)){
        $array = array(
                "photo" => PATH.$data["photo"],
                "date_creation" => date('d/m/Y', strtotime($data["date_creation"]))
                );
        $result[] = array_map("utf8_encode", $array);
    }
    header('Content-type: application/json');
    echo json_encode($result);
}
?>
2
  • seu sistema possui um login ou você quer limitar a visualização dos dados apenas pras pessoas que estão usando seu aplicativo? Commented 29/08/2016 às 3:21
  • @NicolasBontempo possui um login, mas tambem possui busca de dados por meio de POST, se o cara acessar /search.php no formulario html e enviar tal valor para um parametro, ele ve o JSON... quero que todos esses JSON selam acessados somente no aplicativo e não por browsers Commented 29/08/2016 às 18:40

2 Respostas 2

1

Existem diversos métodos de segurança para este caso, no entanto um método básico, que é o mínimo a fazer, seria você usar uma chave criptografada nas duas pontas da conexão. Neste primeiro caso, usando requisição HTTP Get e passando como parâmetro sua chave através de seu aplicativo. Exemplo:

http://192.168.0.101/projeto/user.php?chave=mistersatanderrotoucell

Neste caso, sua aplicação enviaria um dado criptografado através do parâmetro chave, considerando que o mistersatanderrotoucell já seria um dado criptografado.

Para recuperar este valor no PHP, utilizamos as seguintes linhas de código: 

echo $_GET['chave'];

Sendo assim, seria necessário fazer uma verificação confirmando se a chave recebida está correta ou não. Desta forma:

$minha_chave = mistersatanderrotoucell;

if($_GET['chave'] == $minha_chave){
    //exibe json
} else{

    echo "chave incorreta";
}

Ou também, como você já está usando HTTP POST para receber o valor do atributo user, daria para você acrescentar mais uma condição para receber a 'chave' desta forma:

if(isset($_POST['user']) 
&& $_POST['user'] != "" 
&& $_GET['chave'] == $minha_chave){
    //Exibe json
} else{
    echo "chave incorreta";
}

POST é mais seguro que o GET porque as informações passadas pelos usuários nunca é visível na URL.

 

Vai depender da sua criatividade. Boa sorte!

2
  • vlw, obrigado :) Commented 29/08/2016 às 18:41
  • @JonathanSilva por nada, precisar dê um grito aqui!
    – viana
    Commented 31/08/2016 às 0:59
1

Pelo que entendi você quer que: Quando for mobile exiba o json, se for browser desktop redireciona para uma outra URL, se for isso pode ser feito dessa maneira

echo $_SERVER['HTTP_USER_AGENT'] . "<hr />\n";
$userAgent = strtolower($_SERVER['HTTP_USER_AGENT']) . "<hr />\n";

$isWindows = preg_match('/windows phone/', $userAgent)>0;
$isDroid = preg_match('/android/', $userAgent)>0;
$isIOS = preg_match('/iPad|iPhone|iPod/', $userAgent)>0;
$isMobile = $isWindows || $isDroid || $isIOS;

if($isMobile){
    header('Content-type: application/json');
    echo json_encode($result);
}else{
    header("Location: www.teste.com");
}

Isso tem algumas falhas, principalmente por que o user-agent pode ser manipulado, caso seus dados sejam extremamente sigilosos precisa de outra bordagem.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .