4

Isso é uma coisa que me gera muitas dúvidas. Estou criando um Sistema de Gerenciamento de Tarefas. A maioria dos campos são INPUTS ou SELECTS de FORMS. A maioria desses campos os usuários só interagem quando já fizeram login no sistema. Exceto na área de Login e de Recuperação de Senha. Salvo os arquivos, enviados pelos usuários, de forma binária em colunas do banco de dados.

Utilizo PHP, JavaScript (variando com JS Puro e jQuery) com bastante AJAX e Banco de Dados MySQL.

A minha dúvida é a seguinte:

  • Quais formas de segurança eu posso introduzir no Sistema para deixá-lo mais seguro contra possíveis ataques ou usuários mal intencionados ?

  • Sei que podemos usar filtros nas questões do login e senha (FILTER_INPUT, FILTER_SANITIZE do PHP), porém tem algo mais que eu possa fazer ?

  • Preciso me preocupar com Segurança nos campos do tipo SELECT também ? (Pergunto isso, pois os SELECTS são preenchidos com dados que vem do banco de dados. Então os usuários não terão como alterar os valores dos OPTIONS dos SELECTS. Digo, os usuários comuns).

RESUMINDO: Vocês tem algo de útil pra me indicar e acrescentar em um sistema feito em PHP e JavaScript com Banco de Dados MySQL ?

Desde já, agradeço a atenção. Obrigado!

6
  • 3
    Olá Tiago! Você nunca deve confiar em nada que vier do frontend. Mesmo que o select seja populado com dados provenientes do banco, é totalmente possível um usuário mal intencionado mandar um valor qualquer para sua aplicação. Eu vi que vc já se preocupa com coisas como SQL Injection. Se não estiver usando nenhum framework e estiver usando apenas PDO, certifique-se de que está fazendo queries sempre usando o binding. Além disso, é essencial ter o seu projeto com https quando publicado. E sempre valide as dados que vierem do frontend. Commented 20/04/2019 às 0:22
  • Eu utilizo as mesmas linguagens para desenvolver minhas aplicações e costumo fazer muitos tratamentos de entradas, assim como o @GuilhermeAssemany disse: "Você nunca deve confiar em nada que vier do frontend", seja qual for o valor ou forma de receber os dados eles devem sempre ser tratados, uso funções usando regex e funções nativas do PHP para fazer o tratamento, em casos de checkboxes e selects como o sistema já deve saber os valores, verifico se são os que foram dispostos pelo sistema.
    – Wees Smith
    Commented 20/04/2019 às 1:16
  • Evito muito permitir caracteres como = ? " ', e se os deixo por algum motivo especial, sempre uso uma forma de convertê-los para evitar ataques.
    – Wees Smith
    Commented 20/04/2019 às 1:17
  • O engraçado é que o FILTER_VALIDATE_EMAIL permite diversos caracteres especiais além do "@". Não consigo entender isso. Vocês conhecem alguma página (em português) que tenha uma explicação mais detalhadas sobre esse tipo de filtro ? Digo isso porque os sites que eu vi, inclusive a documentação do php, achei a explicação muito genérica. Commented 20/04/2019 às 2:23
  • Outra coisa, no caso de dos campos date do <form>, eu utilizo o FILTER_SANITIZE_STRING ? Commented 20/04/2019 às 2:46

1 Resposta 1

1

Seguem algumas coisas que fiz na minha aplicação recentemente:

  • Atualizar versão do PHP
  • configurar corretamente o htaccess (isso acho que ajuda muito)
  • Validar entrada de dados contra XSS
  • Aplicar prepared statements às queries mysqli

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .