-2

Bom dia, A minha dúvida surge por causa de aumentar a segurança da minha aplicação. O cenário é o seguinte: Um user com autorização vê a listagem de vários itens (ex: lista-item.php), e pode eliminar o item que quiser. O processo de eliminar é atraves de uma query string (Ex: elimina-item.php?id=14)

Existe alguma maneira de restringir/bloquear a manipulação neste caso do id? por exemplo se a conta do user for roubada e a pessoa tiver más inteções, pode simplesmente alterar o id na query string e elimina varios itens. Basicamente pergunto se exite solução para bloquear a manipulação da query e só aceitar a query que vem da pagina lista-item.php

9
  • Vi noutros lugares que no momento em que o user clica no item para eliminar, gera uma hash que será enviada tambem e depois é feito o match. É uma boa solução ou haverá algo mais em conta?
    – leugim
    12/01/2018 às 9:43
  • É, uma hash poderia ser uma solução ou, você está sempre pedindo ao usuário para poder confirmar a senha ao apagar, mas vc so pode manipular via Get ? não da p ser via post? Parametros via get são muito inseguros 12/01/2018 às 10:09
  • @MarcosBrinnerpikatoons da maneira que desenvolvi só dá através de GET. Os itens aparecem em lista e cada uma tem um botão para eliminar, esse botão que rencaminha com o respetivo id do item para elimina-item.php.
    – leugim
    12/01/2018 às 10:21
  • Esse negócio de hash tem cara de gambiarra, e GET e POST dão quase na mesma. O mais comum seria simplesmente verificar na aplicação se o usuário logado tem ou não permissão para realizar a operação. Em princípio, numa aplicação normal, se o usuário fizer a alteração pelo sistema ou pelo URL, não deveria ter diferença prática. Se conseguir explicar melhor um caso prático onde mexer no URL daria problema na sua apicação, talvez fique mais fácil ajudar (ao menos explicar onde é que seria diferente o usuário digitar um ID 2612 ou escolher o ID 2612 pela aplicação mesmo).
    – Largato
    12/01/2018 às 10:24
  • 1
    A forma mais correta e elegante seria passar os parâmetros via $_POST pelos motivos apresentados aqui pelo @Caique C. pt.stackoverflow.com/a/72027/93553, mesmo usando HASH na URL, se for um usuário avançado ele pode simplesmente gerar um HASH pro id que ele quiser e colocar na URL, porém nesse seu caso, passar por $_POST ou $_GET não vai fazer diferença, se a conta do usuário for roubada, o ladrão vai estar logado de forma legitima.
    – Dobrychtop
    12/01/2018 às 10:35

1 Resposta 1

0

Da uma olhada nesse pacote: https://packagist.org/packages/ramsey/uuid

Uso ele para gerar uma hash unica para cada registro e ao invés de trabalhar com a chave sequencial nos GETs e POSTs utilizo o hash.

Isso ajuda em diversas situações, exemplo: Edição do perfil de usuario se vc colocar http://localhost/usuario/profile/1/edit e a pessoa ir passando outros ids ali, ele consegue alterar perfil de outros usuários, usando a hash ele dificilmente descobriria uma hash válida.

Espero que ajude.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .