1

Bom dia, eu tenho um sistema web, mas ele está super falho... eu armazeno ID's em input hidden, porém, ele fica visível se inspecionar elemento..

inserir a descrição da imagem aqui

se eu trocar o id_agendamento para 1, ele irá atualizar o registro 1 ao invés do 26..

seria a melhor forma armazenar esse ID numa session (PHP) e depois recupera-la durante o ciclo de vida do processo? Ou existe alguma outra forma?

Não sei se a pergunta é duplicada. Tentei ser o mais claro possível. Agradeço desde já quem puder me ajudar.

5
  • 2
    SESSION é uma das formas possíveis, assim como LocalStorage ou COOKIES, mas não diria a melhor porque depende do conteúdo armazenado, uma vez que o ID seja algo de importância grande, poderia criptografar e salvar criptografado, mas é melhor que o input hidden
    – Wees Smith
    Commented 29/07/2018 às 14:51
  • 5
    Não vejo problema que os id fiquem escondidos e possam ser facilmente modificados, o usuário que mudar o valor de 26 para 1 não tem permissão de modificar o 1, retorne um erro do servidor, se tiver permissão deixe fazer a operação normalmente. Na verdade não é tão incomum, o próprio stackoverflow deixa um código (imagino eu que seja algo semelhante ao id ou o próprio) na url
    – Costamilam
    Commented 29/07/2018 às 16:20
  • 2
    Se você colocar um id criptografado no agendamento, dificilmente alguém irá conseguir adivinhar o id certo. Por exemplo: id_paciente: ushu23hdy4323232 id_usuario: kjashah8732.uji Commented 29/07/2018 às 20:42
  • 1
    Na minha visão, essa é a melhor forma (criptografar), visto que ids em sessão também podem ser recuperados e modificados. Além disso usar sessão para armazenamento de muitos dados não é a melhor opção pois cada sessão aberta gera um valor serializado. Para gerar esse valor, você tem um custo e para converte-lo, você tem um outro custo. Imagina isso para muitos dados e muitos usuários... Commented 29/07/2018 às 20:45
  • 1
    Já ouviu falar sobre UUID? Recomendo a leitura medium.com/trainingcenter/… Commented 4/08/2018 às 15:34

1 Resposta 1

2
+50

Acredito que a forma mais prática e menos custosa seria você criar uma coluna de chave única na sua tabela do banco de dados, varchar mesmo, para armazenar um segundo identificador. Este segundo identificador deve ser randômico e de mão única, ou seja, sem conversão.

Existem diversas formas de criar uma "hash", por exemplo:

//random_bytes dará uma sequência de bytes
//bin2hex converte para ASCII
//sha1 criptografa
$uniq = sha1(bin2hex(random_bytes(32)));

armazena esse valor junto com o restante dos outros dados.

Valide também a necessidade de ter o "id_agendamento" e "id_paciente" no formulário. Se o banco estiver bem estruturado e relacionado, você consegue atualizar os dados utilizando somente um único identificador.

No fim, seu input ficará assim:

<input type="hidden" name="token" value="a72e2e0d24022f7c8e34532208ee0b119cb77850">

Dessa forma você diminui e muito a probabilidade de alguém acertar o próximo valor.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .