6

Antigamente era muito comum visitarmos páginas na internet e vermos na URL os parâmetros sendo passados ali mesmo, no site do php.net ele mostra que já esta obsoleto, existem sites como o Facebook, terra etc, que continuam passando parâmetros na URL.

Minha pergunta é: Ainda é seguro usar parametros na url?

Se não, então porque ainda é utilizado em sites "famosos"?

Exemplo:

https://www.facebook.com/r.php?placement=pflo&campaign_id=402047449186&extra_1=not-admgr-user

Edit

Como bem observado, o $_GET não está obsoleto.

2
  • 4
    O $_GET não está obsoleto, é a variável $HTTP_GET_VARS que está!
    – Oeslei
    Commented 30/06/2015 às 13:07
  • 3
    Como o @Oeslei informou não é o $_GET que esta obsoleto é o $HTTP_GET_VARS. O $HTTP_GET_VARS contém a mesma informação inicialmente, mas não é uma superglobal. (Note que $HTTP_GET_VARS e $_GET são variáveis diferentes e que o PHP manuseia-as diferentemente) Commented 30/06/2015 às 13:12

5 Respostas 5

7

DEPENDE! Só pra completar a receita do bolo, temos não só o GET, como o POST também.

Os métodos GET e POST tem finalidades diferentes. De acordo com o HTTP, o GET serve para pegar recursos de um servidor de forma segura (sem alterar nada lá) e o POST para enviar informações ao mesmo.

Mas por que utilizamos o GET para enviar parâmetros? Em casos de pesquisas, como no Google, perfis e fotos no Facebook, etc, é comum ver os parâmetros na URL, pois assim, podemos copiar e passar para outras pessoas, sem que as mesmas tenham que seguir todos os passos que você fez até chegar ao recurso desejado. Veja bem(!), são situações em que os PARÂMETROS não são críticos(segurança), não tem necessidade de esconder. Já em caso de LOGIN, SENHA, NUMERO DO CARTÃO DE CREDITO, entre outras informações, não é legal ficar rodando com isso pra lá e pra cá nas URLS, qualquer um pode chegar e ver! Para este tipo de informação pessoal/particular, se utiliza o POST, que envia os parâmetros no corpo da requisição HTTP.

Então, só para concluir: o método GET é seguro sim, desde que seja usado da forma correta, dentro de seu escopo de utilização.

4

Nota: De acordo com a documentação, $_GET não está obsoleto, o que na verdade está obsoleto é o $HTTP_GET_VARS.


Utilizar parâmetros por URL é necessário em diversos casos e ele facilita na experiencia do usuário ao favoritar uma determinada URL com um parâmetro por exemplo.

O problema em questão é a segurança em utilizar diretamente $_GET. Como ele é o input mais fácil de ser manipulado pelo usuário, muitas brechas de segurança são exploradas através dele.

Para evitar que isso aconteça, devemos sempre validar os conteúdos externos a nossa aplicação, isso inclui as variáveis passadas por GET, POST, etc.

No PHP podemos utilizar o filter_input() para validar essa entrada:

<?php

$search_url = filter_input(INPUT_GET, 'search', FILTER_SANITIZE_ENCODED);

A lista de filtros suportados pelo PHP podem ser encontradas aquien.

4

GET / POST são métodos para receber informações, o método GET nunca deixou de ser seguro, só que muita gente usa para fazer injeção SQL, só que a injeção SQL funcionária com qualquer método de recepção de parâmetros e quem deve se cuidar é o desenvolvedor.

O GET/POST são maneiras de enviar informações, então não há diferença de segurança entre os mesmos, a não ser o fato do usuário pode manipular mais facilmente o parametro passado para seu script.

Sobre os sites que você diz, acredito que eles não usem mas o GET porque devem estar fazendo o uso de URL's amigáveis (que ainda assim recebem os parâmetros por GET, e só mudam a maneira que elas são enviadas. Elas vão sem o "?parametro1=valor1&parametro2=valor2", geralmente vão assim "/parametro1/valor1/parametro2/valor2"), isso ajuda a manter a semântica e é melhor para Indexar os conteúdos para os Web Crawlers.

NOTA: O $_GET não é obsoleto.

Sobre o $_GET ele não está obsoleto no php.net, o que esta obsoleto é o $HTTP_GET_VARS. Ela contém a mesma informação inicialmente, mas não é uma superglobal. (Note que $HTTP_GET_VARS e $_GET são variáveis diferentes e que o PHP manuseia-as diferentemente)

3
  • o sites que listei não usam url amigaveis, na url fica aparecendo os parametros exemplo: facebook.com/… ou se usam não esta padronizado... Commented 30/06/2015 às 13:07
  • Desculpa, entendi errado mas a resposta ainda vale tirando a parte de url amigáveis. Commented 30/06/2015 às 13:09
  • 1
    Quando falamos de GET, estamos falando de HTTP. URL amigável se trata de aplicação. Podemos utilizar URL amigáveis tanto com GET quanto POST.
    – Caique C.
    Commented 30/06/2015 às 16:06
2

Introdução

O intuito dessa resposta é apenas esclarecer e botar as coisas no eixo.
Referente a tratamento de dados para tornar uma requisição ou um envio de dados seguro, as 4 respostas existentes, até a data de publicação dessa minha resposta, são o suficiente para compreender o básico sobre sanitização, filtragem e validação de dados, portanto, vamos começar a destrinchar o assunto:

A variável global do PHP, $_GET

Essa variável global serve para resgatar dados recebidos pelo método GET.
Simples assim, não há muito o que dizer.

Manual: http://php.net/manual/en/reserved.variables.get.php

Métodos de envio de dados do HTTP

Isso é um assunto que nada tem a ver com PHP.
O HTTP é um protocolo usado para transferência de "hypertexto" (Hypertext Transfer Protocol). Informações gerais na Wikipedia: https://en.wikipedia.org/wiki/Hypertext_Transfer_Protocol

Portanto, o protocolo HTTP é uma coisa e o $_GET, é um recurso do PHP.

Uma requisição pelo método GET não precisa, necessariamente, possuir parâmetros. Um exemplo, ao entrar com o seguinte endereço num browser: https://pt.stackoverflow.com/, já estará enviando uma requisição pelo método GET. Esse é o método padrão de envio de dados.

O que é seguro enviar pelo método GET?

É recomendável que envie somente dados não sensíveis. São considerados dados sensíveis, informações privadas como senhas, cartão de crédito, login, etc.

O motivo para não enviar dados sensíveis pelo método GET é pelo fato de que visivelmente é muito fácil qualquer pessoa obter tais dados, mesmo offline, pois as URLs são normalmente gravadas em cache no dispositivo do usuário.

Entretanto, mesmo pelo método POST não deve enviar dados sensíveis sem criptografia.

Resumindo, de um modo geral, não há problema algum em enviar dados pelo método GET ou POST ou outros métodos REST.

A culpa não é do GET

Parte do problema é a forma desleixada como as pessoas passam uma informação, no intuito de resumir um assunto, acabam por ensinar de um jeito inapropriado. Por exemplo, não tem o menor sentido a pergunta que fez. Mas acredito que é devido a um assunto que foi abordado nas outas respostas, que é o tratamento e validação dos dados recebidos.

A validação dos dados, tanto pelo GET quanto pelo POST, se não for bem feita, pode acarretar em problemas sérios de segurança.

O envio dos dados em si não tem problema algum pois isso é o protocolo HTTP. O que vai afetar a segurança ou o funcionamento correto do sistema que recebe, ou seja, a responsabilidade do que será feito com os dados recebidos é totalmente do sistema que recebe os dados. É válido também salientar que dependendo do tipo de dados que está sendo recebido, quem envia também tem responsabilidade, vide o que mencionei acima sobre dados sensíveis.

O protocolo HTTP em si é apenas uma estrada por onde trafegam os dados.

0

Na minha opinião, depende do tipo de informação que você vai expor ali. Se é só configuração, ou um código que não te leva pra lugar nenhum, não vejo problema. Provavelmente esse tipo de parâmetro é o que vc ainda vê no Facebook, por exemplo. Mas o ideal, e mais elegante, seria não expor nada e passar tudo internamente. Por que esse tipo de código ainda está lá? Provavelmente pq é código legado, e funciona.

2
  • Configuração, eu acho arriscado. O usuário pode alterar o mesmo e dar um crash na aplicação, ou no mínimo, invalidar a funcionalidade.
    – Caique C.
    Commented 30/06/2015 às 16:03
  • Concordo, Caíque, se vc não tratar direito, pode dar problemas. Mas eu quis dizer mais no sentido de informação privilegiada mesmo
    – bupereira
    Commented 30/06/2015 às 16:58

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .