0

Usando PHP eu exibo uma tabela, na id de cada li, eu coloco a id do registro que esta no banco de dados. Uma vez elas exibidas, tenho uma opção que exclui o registro, faço isso através de AJAX, pego a id daquela li, e mando pro PHP deletar.

Mas percebi que se eu usar o Developer Tools, "famoso F12", e mudar manualmente a ID da li, ele vai pegar essa nova ID que eu coloquei. Dessa forma o projeto que estou fazendo fica vulnerável dependendo de quem o use. Digo isso pois tem muita coisa que estou usando esse método. Tem algum atributo que o usuário não possa editar ou algum outro método mais seguro?

3
  • 2
    Resposta mais longa: Não. 30/08/2017 às 21:28
  • O jeito é validar sempre no backend. 30/08/2017 às 21:29
  • 2
    Normalmente não precisaria fazer nada de especial no html. Uma aplicação bem escrita não vai deletar com base só no ID, e sim nas credenciais do usuário. Se o usuário tem permissão para deletar, tanto faz se foi pelo devtools ou se foi pela interface original. O que pode estar acontecendo de errado é sua aplicação não validar as credenciais. Isso seria um problema real da aplicação, diferente do caminho buscado na pergunta.
    – Bacco
    30/08/2017 às 21:33

3 Respostas 3

6

Não existe, na verdade não é só HTML, é em qualquer coisa, sempre que você depender de um cliente você estará vulnerável, por isso nunca deve confiar em nada que vem do cliente, tudo pode vir de forma inesperada. Nunca confie no cliente!

Imagine que na maioria dos softwares existentes, principalmente web só funcionam por coincidência, porque em geral ninguém mexe, é raro o programador que valida todas entradas de dados e só aceita o que realmente é adequado.

Aplicações não web dificultam um pouco mais porque exige um conhecimento técnico que poucos têm, mas para web, qualquer curioso pode detonar sua aplicação.

Pensa bem, qual a diferença entre a pessoa acessar um id pela sua página normal ou pelo Dev Tools? Tem alguma situação que a pessoa não pode acessar esse id? Garanta no servidor que isto não seja possível. Não tem outra forma.

E garanta que o servidor não está vulnerável. Garanta que a plicação não pode ser comprometida, caso contrário nem no servidor terá segurança.

2
  • Intendo, então por exemplo, no meu BD, tenho os endereços do cliente, eu tenho a id e idUser. Eu teria que verificar se id enviada tem o mesmo idUser do usuário que esta logado. Se sim prossegue com a ação, caso contrato seria algum usuário tentando modificar algo correto, eu apenas interrompo a ação e exibo um alerta. Tento sempre fazer validação front e back. 30/08/2017 às 21:35
  • É por aí. Não tem como impedir que usuários façam algo errado de boa ou má fé, dá para evitar que aconteça, dá para restringir o que ele pode fazer, dá para auditar, reverter, dá para evitar que pessoas não autorizadas mexam onde não podem.
    – Maniero
    30/08/2017 às 21:40
2

Não tem como impedir. Se o cliente alterar um código que será enviado ao servidor, é o servidor que deverá validar: verificar se o valor existe, se o valor recebido é válido, se o cliente que o enviou tinha autorização pra isso, etc etc...

Mas é sempre bom fazer uma pré-validação frontend também, pois poupa requisições ao servidor.

No seu exemplo, se o cara trocar id=10 pra id=12, por exemplo, e de forma normal isso não fizer diferença, ele só estará trocando 6 por meia-dúzia. Agora, se ele trocar id=10 por id=13 e o valor "13" não estiver incluído nos valores em que esse usuário pode mexer, seu backend deverá saber disso e impedir que o script prossiga.

-3

Você poderia gerar chaves de validação para seus inputs e registrar num array, daí antes de submeter o formulário ou qualquer outra ação, pode checá-los usando JS.

Ex:

<input id="1" data-validation="b89eaac7e61417341b710b727768294d0e6a277b"> 

Neste input o data-validation é um hash SHA1 gerado com o ID do campo original e a informação do cabeçalho com data e hora de carregamento da página. Isto é só um exemplo de como você pode manter controle do ID. Assim você consegue validar tudo antes de submeter.

Geralmente, eu crio algumas camadas de validação no front e no backend ... e não me preocupo com as modificações em tempo real, pois sempre são filtradas em uma ou outra camada.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .