Tenho um formulário de login que envia dados via post e gostaria de bloquear o login via curl. Isso é possível?
4
-
Minha resposta deu certo pra você? – gpupo 26/07/14 às 20:04
-
Deu sim mano valeu :D, tbm estou usando http_reference. – Leandro Costa 28/07/14 às 2:14
-
O que resolve de uma forma realmente decente é Recaptcha. De resto tudo é possível simular via CURL. O recaptcha tb pode ser resolvido por robo, mas é bem mais dificil. – Karl Zillner 6/07/17 às 17:37
-
E cuidado com filtro pelo referrer. Não é tão eficiente assim fazer isso, o cara pode ter fechado o navegador e reaberto carregando a pagina q estava aberta. Ou simplesmente alguem pode ter enviado o link pra ele por email ou por algum aplicativo de mensagem. – Karl Zillner 6/07/17 às 17:38
comentar
|
É possível se você utilizar uma boa de engenharia para Cross-Site Request Forgery (CSRF) Prevention
.
Basicamente, seu formulário terá um campo onde você armazena um token
o qual possui um tempo de vida e é validado na url que recebe o formulário. O cUrl não saberá preencher o valor deste campo que é dinâmico e gerado durante a rendenização do <form
Exemplo extremamente simples:
<?php
$token = md5(uniqid(rand(), TRUE));
$_SESSION['token'] = $token;
?>
<form action="controller.php" method="post">
<input type="hidden" name="token" value="<?php echo $token; ?>" />
<input type="submit/>
</form>
Em controller.php:
<?php
if ($_POST['token'] == $_SESSION['token']){
/* Valid Token */
}
-
Mas na teoria se ele fizer uma acesso a página do form primeiro, e pegar esse token, ele conseguiria realizar o login sem problemas ? – Bruno Cerquiare 9/12/14 às 17:18
-
Sim, se mantiver a mesma sessão. Deste modo, o script precisa ser mais sofisticado. O próximo passo de segurança é utilizar Teclado Virtual ou Captcha – gpupo 10/12/14 às 14:13