"Seguridad" en Sitio

[german_1441]

Gracias por la respuesta!

Iniciado por pateketrueke

El asunto es que sólo el servidor saber que generó, y al recibir el formulario compararía dicho valor contra lo que le provee el usuario.

Obviamente sólo harán "match" si son el mismo, y además es un valor que se regenera con cada petición de modo que cada usuario crearía un valor único y que cambia en la siguiente petición, etc.

Esto es precisamente lo que no comprendo del todo bien, y es a lo q me refiero con un parámetro más (como te comentaba, quiza mi implementación está mal, q es lo mas seguro )

Yo tengo un formulario de login, digamos, en mi index.php, en el cual creo un token, de la siguiente forma:


Archivo index.php

Código HTML:

<?php
   $token =  //Creamos el token con algún método para generar un 'código' aleatoirio o encriptado (o ambos)
  $_SESSION['token'] = $token;
?>
<form action="ingresar.php" action="post">
 <input type="text" name="user">
 <input type="password" name="pass">
 <input type="hidden" name="token" value="<?=$token?>">
 <input type="submit" value="Ingresa">
</form>
 

Después en mi archivo ingresar.php tengo lo siguiente

Archivo ingresar.php

Código PHP:

<?php
   $token_recibido = $_POST['token];
   if($_SESSION['token']==$token_recibido){
    //Comprobamos las demás variables para hacer el login
 }
  else{
   //Acciones a seguir en caso de que el token no coincida
  }
?>
 

Esa es la forma que yo entiendo de generar el token, pero a final de cuentas , es un valor más que se puede enviar desde una parte externa, y la sesión se crearía tan sólo con visitar mi página...
Sé que se pueden agregar más parámetros, como la caducidad del token o incluso otra session con el tiempo dado al usuario para realizar acciones , pero,
existe alguna otra forma más "segura"? o es q la implementación no es la correcta

Agradezco sus observaciones, saludos!!