0

Estou criando um sistema, onde sempre preciso do id do meu objeto no BD, e na maior parte do sistema envio esse id da VIEW pro controller usando os campos hidden com um POST.

Se falando de segurança qual o melhor jeito de se fazer isso?

Acho meio inseguro utilizar esse método. Alguém pode me ajudar?

1

2 Respostas 2

1

Só vai ser inseguro, se seu sistema tiver brechas de segurança, caso contrário o usuário não poderá fazer nada com um ID. Mas se tiver utilizando algum certificado ssl por exemplo, poderá criar um cookie ou até uma session para registrar o ID na hora que acessar a view. Não mascara 100%, mas impede de ser editado.

6
  • Eu estou tratando qualquer tentativa de alteração no controller, mas pensei que existisse um metodo mais recomendado para isso. 14/05/2015 às 16:41
  • Isso não é um problema tão grande assim, como o ID geralmente é formado por números, fica fácil tratar contra códigos maliciosos. Como citei, o cookie seguro pode ser uma boa pra vc, pois ele não pode ser editado. Mas se for de suma importância que o usuário nem visualize o id, me fale que tenho uma alternativa.
    – dm707
    14/05/2015 às 16:49
  • O que você acha de sessions? Seria de mesma segurança do cookie? 14/05/2015 às 16:50
  • Você pode utilizar sessions sem problemas, na verdade vai ser até melhor. Lembrei que a session não pode ser visualizada pelo usuário, pois é armazenada no servidor e não no navegador. Cada session gera um id que é armazenado no navegador, mas o conteúdo dela fica apenas no servidor.
    – dm707
    14/05/2015 às 16:57
  • Desculpe por outra pergunta leiga, esse caso da sessions ser armazenadas o conteúdo apenas no servidor, é uma funcionalidade do laravel? ou são características dela mesmo? 14/05/2015 às 17:00
0

Creio que a melhor alternativa é utilizar o próprio recurso do framework, no que diz respeito a esse id que você quer passar.

parametros pela URL e findOrFail

Controller:

public function anyEdit($id)
{
    $usuario = Usuario::findOrFail($id);

   return View::make('...', ['usuario' => $usuario]);
}

View:

{{ Form::model($usuario); }}

No caso do Controller exemplificado, o método findOrFail garante que o usuário deve existir no banco na hora de editá-lo.

Passando no input hidden, corre o risco de alguém editar os dados (com a ferramento do desenvolvedor por exemplo) e causar problemas para sua programação.

No caso do findOrFail pegando o id pela url usuario/edit/1, se ele colocar um id não existente, o Laravel irá retornar uma exceção.

Já no caso do Form::model(), passamos o usuário, para poder preecher automaticamente os campos com o valor desejado.

Segurança com o Input Hidden

Dá para aplicar uma segurança extra na hora de passar os dados pelo input hidden.

Suponhamos que você quer validar que aquele campo do input hidden e garantir que o ID exista no banco. Você pode usar a validação exists para isso:

$rules = [
     'hidden_id' => 'required|exists:tabela,id_dessa_tabela'
];

Validator::make(Input::all(), $rules);

Controle de Níveis

E em um terceiro caso vamos imaginar que você tenha o model Produto. E você tem dois tipos de usuário no sistema (administrador e comum).

O comum não poderá editar o campo usuario_id de Produto; O administrador poderá.

Você pode usar o método reguard para proteger os dados do model. E unguard para desfazer a proteção.

Você pode fazer algo parecido com isso:

class BaseController extends Controller

{
   public function __construct()
   {
      if (Auth::user()->nivel !== 'administrador') {
         Produto::reguard();
      } 
   }
}
1
  • tenho que melhorar, mas faço isso depois. O teclado do meu cunhado é diferente do que estou acostumado a usar :) 1/08/2015 às 18:10

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .