Estou trabalhando em um script que faz consultas em uma API externa que retorna os dados em json
, estou fazendo a consulta utilizando ajax
, mas estou enfrentando alguns problemas de segurança.
A consulta funciona perfeitamente, só preciso criar uma validação para evitar que essas consultas possam ser feitas fora do formulário, ou até mesmo dentro do formulário porém somente após a validação do reCAPTCHA.
O script ficou dessa forma:
function buscarDados(cpf){
if(getCookie('tipo') == 1 || getCookie('tipo') == 2){
recarregaDados();
$("#divLoading").hide();
return true;
}
$.ajax({
type: "GET",
dataType: 'json',
async: false,
url: "buscar.php?cpf=" + cpf,
success: function(data){
if(data.status == 1){
setCookie('dadosNome', data.nome, 1);
setCookie('dadosSexo', data.genero, 1);
setCookie('dadosNascimento', data.nascimento, 1);
var nome = data.nome;
if(data.genero == 'M')
$("#sexo").val('Masculino');
else
$("#sexo").val('Feminino');
var tmp = nome.split(" ");
nome = tmp[0];
$("#datadenascimento").val(data.nascimento);
$("#inputFirstName").val(tmp[0]);
$("#inputLastName").val('');
for(i = 1; i < tmp.length; i++){
if($("#inputLastName").val() != '')
$("#inputLastName").val($("#inputLastName").val() + ' ');
$("#inputLastName").val($("#inputLastName").val() + tmp[i]);
}
$("#nomeCPF").html(nome);
$("#divLoading").hide();
}else{
if(data.erroCodigo == '102')
alert("O CPF informado não existe nas bases de dados da Receita Federal!");
else
alert("Não foi possível realizar a verificação do seu CPF.");
setCookie('tipo', 0);
window.location.reload();
window.reload();
}
}, //END success
error: function(e){
alert("Oops! Não foi possível realizar a verificação do seu CPF.");
setCookie('tipo', 0);
window.location.reload();
window.reload();
} // END error
}); // END $.ajax
return true;
}
var captchaValido = 0;
var correctCaptcha = function(response) {
if(response.length == 0)
captchaValido = 1;
else
captchaValido = 2;
};
var onloadCallback = function() {
grecaptcha.render('recaptcha_cpf', {
'sitekey' : 'CHAVE_RECAPTCHA', 'callback' : correctCaptcha
});
grecaptcha.render('recaptcha_cnpj', {
'sitekey' : 'CHAVE_RECAPTCHA', 'callback' : correctCaptcha
});
};
$('#verifica_cpf').click(function () {
if(captchaValido == 0){
alert('Por favor marque a opção "Não sou um robô" para continuar.');
return false;
}
if(captchaValido == 1){
alert('Verifique o captcha pois não houve validação correta.');
return false;
}
$('.dados_verificados').delay(500).slideDown(350);
});
O arquivo php que realiza a consulta na API ficou dessa forma:
if($_SERVER['HTTP_REFERER'] == 'url_que_faz_a_consulta' and $_GET['cpf']){
if(isset($_GET['cpf'])){
$url = 'https://url_api/cpf/' . $_GET['cpf'];
$ch = curl_init($url);
curl_setopt($ch, CURLOPT_TIMEOUT, 5);
curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 5);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
$data = curl_exec($ch);
curl_close($ch);
echo $data;
}
} else {
include("404.php");
exit;
}
Atualmente ele só vai acionar o PHP quando resolver o captcha, mas eu preciso que o próprio PHP também realize essa checagem, verificando se o captcha foi realmente resolvido, aceitando apenas uma consulta por cada fez que ele for resolvido.
Teria alguma forma de fazer isso? Ou alguma outra forma de incluir uma validação alternativa no PHP para evitar consultas de bots?