0

estou estudando um pouco sobre programação web, e tentando criar uma loja virtual para treinar, mas algumas coisas ainda não estão muito claras p mim. Estou tentando montar a parte de cadastro/login do usuario e li que o metodo PDO é mais seguro contra invasões do tipo sql injection do que usar o metodo post, ate comecei a fazer pelo pdo, mas estou tendo dificuldades para apresentar mensagens ao usuario devido ao refresh que a pagina dá após a ação de cadastrar por exemplo. Então recentemente vi um tutorial no youtube que ensinava da forma que segue abaixo. Alguem pode me dizer se essa forma é segura ou se esse código é passivo de sofrer invasões?

<!--AJAX PARA INSERÇÃO DOS DADOS -->
<script type="text/javascript">
    $(document).ready(function(){
        
        $('#btn-cadastro').click(function(event){
            event.preventDefault();
            
            $.ajax({
                url: "cadastrar-usuario.php",
                method: "post",
                data: $('form').serialize(),
                dataType: "text",
                success: function(mensagem){

                    $('#mensagem').removeClass()

                    if(mensagem == 'Cadastrado com Sucesso!!'){
                        
                        $('#mensagem').addClass('text-success')

                        document.getElementById('username').value = document.getElementById('email').value;

                        document.getElementById('pass').value = document.getElementById('senha').value;

                        $('#nome').val('')
                        $('#telefone').val('')
                        $('#cpf').val('')
                        $('#email').val('')
                        $('#senha').val('')

                        //$('#btn-fechar').click();
                        //location.reload();



            
           

                    }else{
                        
                        $('#mensagem').addClass('text-danger')
                    }
                    
                    $('#mensagem').text(mensagem)

                },
                
            })
        })
    })
</script>





<!--AJAX PARA RECUPERAR A SENHA -->
<script type="text/javascript">
    $(document).ready(function(){
        
        $('#btn-rec').click(function(event){
            event.preventDefault();
            
            $.ajax({
                url: "recuperar.php",
                method: "post",
                data: $('form').serialize(),
                dataType: "text",
                success: function(mensagem){

                    $('#mensagem2').removeClass()

                    if(mensagem == 'Senha enviada para o seu Email!'){
                        
                        $('#mensagem2').addClass('text-success')

                        document.getElementById('username').value = document.getElementById('email-recuperar').value;

                       
                        $('#email-recuperar').val('')
                        

                        //$('#btn-fechar').click();
                        //location.reload();



                    }else{
                        
                        $('#mensagem2').addClass('text-danger')
                    }
                    
                    $('#mensagem2').text(mensagem)

                },
                
            })
        })
    })
</script> ```
1
  • Não confunda PDO com o método de requisição POST. 24/03/2021 às 18:25

2 Respostas 2

1

Vou seguir a mesma linha das respostas e comentários anteriores. Vamos começar por essa parte da sua pergunta:

Estou tentando montar a parte de cadastro/login do usuario e li que o metodo PDO é mais seguro contra invasões do tipo sql injection do que usar o metodo post

PDO é uma extensão (api) do PHP para acesso a banco de dados, que suporta diversos sistemas de banco de dados (MySQL, Postgres, SQL Server, Oracle, sqlite, etc.). Uma coisa que você pode comparar com PDO é a extensão mysqli, que serve para acessar exclusivamente banco de dados mysql (como o nome sugere). No geral PDO é uma boa escolha, tem até uma pergunta aqui no sopt fazendo um comparativo.

Já o método POST esta relacionado ao protocolo HTTP, não faz parte exclusivamente da linguagem PHP. Vamos a uma definição sobre o protocolo HTTP tirada da wiki Mozilla Developers (uma boa fonte de aprendizagem para tecnologias web em geral):

O protocolo HTTP define um conjunto de métodos de requisição responsáveis por indicar a ação a ser executada para um dado recurso. Embora esses métodos possam ser descritos como substantivos, eles também são comumente referenciados como HTTP Verbs (Verbos HTTP). Cada um deles implementa uma semântica diferente, mas alguns recursos são compartilhados por um grupo deles, como por exemplo, qualquer método de requisição pode ser do tipo safe, idempotent ou cacheable.

Os métodos HTTP mais comumente usados para enviar dados de formulário (e de outras informações) são GET, POST, UPDATE e DELETE (confira o restante no link da citação Mozilla MDN). Cada um tem uma semantica e um caso de uso especifico, por exemplo, você utiliza o metodo GET quando quer listar dados do servidor, e o método POST quando quer enviar algo para ser salvo no servidor. Mas claro que sempre é possível forçar a barra (usar más praticas) e fazer tudo usando um único método, por exemplo enviando tudo como GET.

Então voltando a sua pergunta, a classe PDO não esta diretamente relacionada ao método post do protocolo HTTP. O método post esta relacionado a como o navegador que esta rodando sua aplicação vai enviar os dados para o servidor (se no corpo da requisição http ou na url, por exemplo). Já a PDO esta relacionada a como os dados recebidos do cliente pelo servidor vão ser salvos no banco de dados.

Sobre a parte de enviar requisição post via AJAX, o simples fato de fazer isso não define se o sistema vai ser seguro ou inseguro. Por que no final das contas, quando o formulário for submetido vai ser feito uma requisição POST para o servidor, da mesma forma que seria feita se você usar AJAX pra fazer isso.

Então no final das contas você quer saber se o código que você escreveu é seguro (codigo javascript que você colocou na pergunta). A resposta é depende.

Depende de como esta a parte do codigo em PHP no servidor que recebe esses dados do cliente. Se você esta usando a api PDO da forma correta (usando preparestament para enviar os dados do array $_POST para salvar no banco, em vez de simplesmente concatenar as variáveis na consulta sql, ficando sujeito a injeção de codigo sql). Esses e outros aspectos de segurança você pode se aprofundar com os materiais indicados nos links abaixo (embora sejam extensos, mas são um bom ponto de partida para aprender mais sobre segurança).

2
  • Perfeito, muito obrigado, agora eu entendi os pontos e já vou começar a estudar os materiais que me indicou! Muito obrigado mesmo!
    – Michele
    24/03/2021 às 23:06
  • Muito obrigado a todos que responderam. Nao estou vendo nenhum lugar aqui para encerrar a questão (primeira vez no forum), mas agradeço pois me ajudaram muito!
    – Michele
    24/03/2021 às 23:09
-3

Segurança nao está relacionado ao front-end, e sim ao servidor. O post é um método seguro sim, ate porque o usuário pode fazer uma requisição sem ser pelo front-end, usando software como Postman.

Você deve garantir a segurança sempre no nível do servidor e nunca no nível do cliente, visto que qualquer um pode alterar o código.

Lembre-se, sempre use https para garantir que os dados sejam criptografados.

2
  • 2
    "Segurança nao está relacionado ao front-end" "e nunca no nível do cliente" essas afirmações são muito perigosas, o que acha de deixar a senha sendo exibida na página? segurança deve ser feita em todos os pontos possíveis, nunca é demais 24/03/2021 às 17:37
  • Então eu devo concluir que o código acima é seguro, porem tenho que garantir a segurança no servidor? como faço isso? tem algum conteudo p me indicar pra que eu possa estudar?
    – Michele
    24/03/2021 às 18:10

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .