-1

Ola tenho um site e uso esse seguinte formulário esse script para cadastrar projetos, mas precisa de um formulário seguro, pois se eu vou em inspecionar elemento na minha pagina e mudo o value da minha option que estava Suporte administrativo para c* ele vai salvar no meu db como c* eu queria que esse valor não tivesse como editar e tbm precisava alguma coisa para anti injection, spam e CSRF ou XSRF, mas n sei implementar pois sou muito leigo em PHP, se alguém poder ajudando com alguma dica qualquer coisa ou um script que me proteja de tudo isso agradeço

<?php
if(count($_POST)>0) {
    require_once("conexao.php");
    $sql = "INSERT INTO classificados (titulo, categoria, valor) VALUES ('" . $_POST["titulo"] . "','" . $_POST["categoria"] . "','" . $_POST["valor"] . "')";
    mysqli_query($conn,$sql);
    $current_id = mysqli_insert_id($conn);
    if(!empty($current_id)) {
        $message = "New User Added Successfully";
    }
}
?>

Uma parte do meu formulário

<form name="frmUser" method="post" action="">
<div class="col-md-4 col-sm-12 search-col">
<div class="input-group-addon search-category-container">
<label class="styled-select">
<select required="" class="dropdown-product selectpicker" name="categoria">
<option value="">Todas Categorias</option>
<option class="subitem" value="IT & Programacao"> IT & Programação</option>
<option value="Design e Multimedia"> Design e Multimedia</option>
<option value="Tradução e Conteúdos"> Tradução e Conteúdos</option>
<option value="Marketing e vendas"> Marketing e vendas</option>
<option value="Suporte administrativo"> Suporte administrativo</option>
<option value="Finanças de Administração"> Finanças de Administração</option>
<option value="Engenharia e Manufafuta"> Engenharia e Manufafuta</option>
<option value="Legal"> Legal</option>
</select></label>
</div>
</div>
3
  • 2
    Se é muito leigo em PHP como disse na questão, e realmente precisa de um formulário seguro para uso real, seria o caso de contratar um programador, o que foge um pouco do escopo do site. Uma simples "dica" não vai passar nem perto de resolver seu problema. Agora, enquanto estiver aprendendo, pode fazer perguntas específicas sobre partes específicas, e à medida que vai resolvendo cada etapa, pode abrir novas perguntas, mas sempre descrevendo o problema detalhadamente. Lembrando que pode sempre editar sua postagem para complementar (desde que não invalide respostas existentes).
    – Largato
    14/01/2018 às 19:59
  • Enquanto isso, pode pesquisar aqui no site sobre SQL Injection + PHP para pegar alguns exemplos do que deve (e não deve) fazer, e também sobre Validação + Formulário, Senhas + Seguras etc.
    – Largato
    14/01/2018 às 20:10
  • Opa, muito obrigado pela dica e ajuda 14/01/2018 às 22:14

1 Resposta 1

0

Como já apontaram nos comentários, o correto seria você estudar sobre segurança e como implementar isso em PHP e, caso surja alguma dúvida mais específica, perguntar aqui. O que podemos fazer é dar algumas dicas e você pesquisar melhor cada uma.

A primeira dica de segurança é SEMPRE validar os dados que chegam no seu back-end. Se você fizer isso já vai estar se prevenindo de diversos ataques. Tenha em mente que validações no front-end são apenas para melhorar a experiência do usuário.

A segunda dia é sempre verificar se o usuário tem permissão para fazer alguma operação no seu site. A forma mais fácil de fazer isso é usando session

A terceira dia é sempre escapar seus dados antes de enviar para seu banco de dados e principalmente usar um drive para conectar e fazer operações com seu banco. O PHP oferece, por exemplo o PDO.

É claro que isso não é tudo, mas é um começo. Se fiquei essas 3 coisas já vai evitar muitos ataques.

1
  • Vlw pela dica, vou dar um estuda sim 14/01/2018 às 22:14

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .