0

Estou trabalhando em um script que faz consultas em uma API externa que retorna os dados em json, estou fazendo a consulta utilizando ajax, mas estou enfrentando alguns problemas de segurança.

A consulta funciona perfeitamente, só preciso criar uma validação para evitar que essas consultas possam ser feitas fora do formulário, ou até mesmo dentro do formulário porém somente após a validação do reCAPTCHA.

O script ficou dessa forma:

function buscarDados(cpf){ 
    if(getCookie('tipo') == 1 || getCookie('tipo') == 2){
        recarregaDados();
        $("#divLoading").hide();
        return true;
    }
    $.ajax({        
        type: "GET",        
        dataType: 'json',   
        async: false,      
        url: "buscar.php?cpf=" + cpf,       
        success: function(data){
            if(data.status == 1){
                setCookie('dadosNome', data.nome, 1);
                setCookie('dadosSexo', data.genero, 1);
                setCookie('dadosNascimento', data.nascimento, 1);
                var nome = data.nome;   
                if(data.genero == 'M')
                    $("#sexo").val('Masculino');
                else
                    $("#sexo").val('Feminino');
                var tmp = nome.split(" ");          
                nome = tmp[0];          
                $("#datadenascimento").val(data.nascimento);            
                $("#inputFirstName").val(tmp[0]);           
                $("#inputLastName").val('');
                for(i = 1; i < tmp.length; i++){
                    if($("#inputLastName").val() != '')
                        $("#inputLastName").val($("#inputLastName").val() + ' ');
                    $("#inputLastName").val($("#inputLastName").val() + tmp[i]);
                }
                $("#nomeCPF").html(nome);     
                $("#divLoading").hide();
            }else{
                if(data.erroCodigo == '102')
                    alert("O CPF informado não existe nas bases de dados da Receita Federal!");
                else
                    alert("Não foi possível realizar a verificação do seu CPF.");
                setCookie('tipo', 0);
                window.location.reload();
                window.reload();
            }
        }, //END success        
        error: function(e){         
            alert("Oops! Não foi possível realizar a verificação do seu CPF.");  
            setCookie('tipo', 0);
            window.location.reload();
            window.reload();    
        } // END error    
    }); // END $.ajax
    return true;
}


var captchaValido = 0;  
var correctCaptcha = function(response) {       
    if(response.length == 0)            
        captchaValido = 1;      
    else            
        captchaValido = 2;  
};
var onloadCallback = function() {    
    grecaptcha.render('recaptcha_cpf', {      
        'sitekey' : 'CHAVE_RECAPTCHA', 'callback' : correctCaptcha    
    });    
    grecaptcha.render('recaptcha_cnpj', {      
        'sitekey' : 'CHAVE_RECAPTCHA', 'callback' : correctCaptcha    
    });  
}; 


$('#verifica_cpf').click(function () {      
        if(captchaValido == 0){         
            alert('Por favor marque a opção "Não sou um robô" para continuar.');            
            return false;       
        }       
        if(captchaValido == 1){         
            alert('Verifique o captcha pois não houve validação correta.');         
            return false;       
        }
        $('.dados_verificados').delay(500).slideDown(350);
}); 

O arquivo php que realiza a consulta na API ficou dessa forma:

if($_SERVER['HTTP_REFERER'] == 'url_que_faz_a_consulta' and $_GET['cpf']){

    if(isset($_GET['cpf'])){
        $url = 'https://url_api/cpf/' . $_GET['cpf'];
        $ch = curl_init($url);
        curl_setopt($ch, CURLOPT_TIMEOUT, 5);
        curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 5);
        curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
        $data = curl_exec($ch);
        curl_close($ch);
        echo $data;
    }

} else {

include("404.php");
exit;
}

Atualmente ele só vai acionar o PHP quando resolver o captcha, mas eu preciso que o próprio PHP também realize essa checagem, verificando se o captcha foi realmente resolvido, aceitando apenas uma consulta por cada fez que ele for resolvido.

Teria alguma forma de fazer isso? Ou alguma outra forma de incluir uma validação alternativa no PHP para evitar consultas de bots?

1 Resposta 1

1

Tem sim, faça a validação do recaptcha pelo PHP

$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, 'https://www.google.com/recaptcha/api/siteverify');
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_POST, TRUE);
curl_setopt($ch, CURLOPT_POSTFIELDS, "secret=".$secret."&response=".$token_do_formulario."&remoteip=".$ip_do_usuario_opcional);
$return = json_decode(curl_exec($ch));

Recomendo a utilização do recaptcha v3 para evitar do usuario ter que digitar os caracteres. Um exemplo de empresa que esta utilizando a versão v3 do recaptcha é o itau. Link: https://www.itau.com.br/servicos/boletos/segunda-via/

5
  • Se você optar por utilizar a v3 o Google te retorna um score 0.0 a 1.0 de acordo com o score você barra o acesso ou solicita um segunda verificação. Se o usuário não tiver utilizado seu formulário a api do Google retornar { success: false ... e você já pode barrar o acesso. Commented 21/05/2019 às 0:30
  • E como faço para enviar os dados verificados para o PHP pelo .js?
    – Clebson
    Commented 21/05/2019 às 0:57
  • Não estou com meu computador no momento, a noite te dou um retorno, mais basicamente o token gerado pelo recaptcha você envia para o backend junto com o cpf, como voce esta utilizando GET ficaria algo assim: url: "buscar.php?cpf=" + cpf + "&token=" + token. Outra recomendação se possível utilize POST ao invés do GET. Nunca se sabe se tem alguem snifando a rede. Commented 22/05/2019 às 14:32
  • No meu caso seria possível enviar via POST no mesmo ajax que faz o envio via GET, como ficaria? Thank you.
    – Clebson
    Commented 22/05/2019 às 22:39
  • Desculpe Wendler ainda não conseguir tempo para fazer seu exemplo, estou na faculdade, chego em casa por volta das 23:30h. Em relação a sua pergunta não ha necessidade de utilizar o GET e POST, você pode utilizar apenas o post, alias acho que não é possível utilizar dois métodos ao mesmo tempo. Commented 23/05/2019 às 23:16

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .