3

Linguagem PHP.

Tenho uma grid onde possuo em cada linha botões de editar e excluir aquele registro com ações em javascript passando o id daquele registro para efetuar a ação. Meu problema é relacionado a segurança uma vez que pode ter um usuário sacana que altera o id daquele botão e acesse dados indevidos ou o exclua. Como fazer de uma forma segura?

Exemplo de como está sendo feito:

Parte renderizada em HTML sai +/- assim (exemplo do q sairia do grid):

 <td>Dados1</td>
 <td>Dados2</td>
 <td><img src="editar.png" onclick="editar(1)"><img src="excluir.png"> onclick="excluir(1)"></td>
</tr>
<tr>
 <td>Dados3</td>
 <td>Dados4</td>
 <td><img src="editar.png" onclick="editar(2)"><img src="excluir.png"> onclick="excluir(2)"></td>
</tr>

e no javascript

function editar(id) {
   // chamada em ajax pra controller passando o id via post
}

function excluir(id) {
   // chamada em ajax pra controller passando o id via post
}

alguma sugestão de como fazer de forma segura sem expor o id para o usuario?

3

3 Respostas 3

2

Boa tarde Amigo. Recentemente tive um dilema similar. seguindo seu exemplo de código eu resolvi usando a classe cryptoLib disponível em http://cryptolib.ju.je

  1. Primeiro criamos as funções

 require("path/to/cryptolib.php");

 function tokenizer($id){
 $token = CryptoLib::encryptData($id, "token");
 return $token;
 }

 // Função simples para decodificar o token recebido após click no elemento

 function decodeToken($token){
 $decryptedString = CryptoLib::decryptData($token, "token");
 return $decryptedString;
 }

EXEMPLO: No seu html o código pode ser aplicado da seguinte forma

<td>Dados1</td>
<td>Dados2</td>
<td><img src="e.png" onclick="editar(<? echo tokenizer($row["id"]) ?>)">
<img src="del.png"> onclick="excluir(<? echo tokenizer($row["id"]) ?>)">
</td>
</tr>
<tr>
<td>Dados3</td>
<td>Dados4</td>
<td>
<img src="e.png" onclick="editar(<? echo tokenizer($row["id"]) ?>)">
<img src="del.png"> onclick="excluir(<? echo tokenizer($row["id"]) ?>)">
</td>
</tr>

HTML OUTPUT: No seu html renderizado o código fonte será similar ao exemplo abaixo:

<td>Dados1</td>
<td>Dados2</td>
<td><img src="e.png" onclick="editar("ctnbCH1FXdr41JYI9J82sXjGKbFvIUP3pshgL8KaZsYsEFqFco3NgimLy2xAj")">
<img src="del.png"> onclick="excluir("gimLy2xfUP3pshgL8KaZsYsEFqFco3NAjctnbCH1FXdr41JYI9J82sXjGKbFv")">
</td>
</tr>
<tr>
<td>Dados3</td>
<td>Dados4</td>
<td>
<img src="e.png" onclick="editar("IUPIUP3pshgL8KaZsYsEFqFco3NgimLy2xAj3pshgL8KaZsYsEFqFco3NgimLy2xAj")">
<img src="del.png"> onclick="excluir("8KaZsYsEFqFco3NgctnbCH1FXdr41JYI9J82sXjGKbFvIUP3pshgLimLy2xAj")">
</td>
</tr>

No seu CRUD em PHP. Utilize a função de validação do token:

$id = decodeToken($token);

A função retorna o id para usar na manipulação do CRUD.

Conclusão:

Ao chamar a função

tokenizer($row["id"]);
// O valor retornado para token
sXjGKbFvIUP3pshgLim8KaZsYsEFqFco3NgctnbCH1FXdr41JYI9J82Ly2xAj

Ao receber o token, enviado pelo javascript, chama a função

$id = decodeToken($token);
// se o valor do $row["id"] informado para a função tokenizer() for igual a "99".
// a função retornará o equivalente a:
$id = 99;

Vantagens:

Toda vez que as páginas são renderizadas, o token gerado para cada $row{"id"] é único e aleatório.

Espero que isso ajude a sanar suas dúvidas.

1

Meu problema é relacionado a segurança uma vez que pode ter um usuário sacana que altera o id daquele botão e acesse dados indevidos ou o exclua[...]

Supondo que você somente permita a execução das devidas ações diante da validação do usuário, então não é uma questão de falha de segurança.

  1. Se o usuário X pode alterar ou remover tal conteúdo então tudo vai bem.
  2. Se por algum motivo você confiar em 'validações' externas e o PHP assumir que a requisição é verdadeira sem validar o usuário, então temos um problema.

Caso o usuário tenha acesso à ações ao conteúdo 1 e 2 e você tem um botão delete.php?id=1, mesmo alterando o ID, o usuário pode alterar o conteúdo sem problema. O link só não pode permitir que ele altere para o ID de um conteúdo que não seja dele e execute a ação.

Note que o usuário sempre verá a referência, mesmo que você tenha um hash para o ID.

0

A parte que fica no cliente (JavaScript, HTML, CSS) sempre poderá ser manipulada, você precisa fazer a validação dos dados no lado do servidor (PHP, no seu caso), lá você terá o ID passado, basta checar se aquele usuário realmente poderá editar aquele elemento antes de fato editar.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .