evitar

DINASEN · #1 (**permalink**) 16/07/2003, 08:33

yo para pro ejemplo borrar o editar algun registro lo que hago es lo siguiente

Código PHP:

  http : //localhost/copp/loquesea.php?tipo=valor&id=numero

entonces si un usuario pone esos parametros pues borrara o editara el registro como puedo evitar esto?¿

es decir que entre en la web poniendo el la url entera?¿

Un Saludo

DINASEN · #2 (**permalink**) 16/07/2003, 08:42

ya esta ya lo averigue

Gracias

josemi · #3 (**permalink**) 16/07/2003, 08:47

Hola,

Si tu pagina funciona pasandole los datos por link, no puedes evitar que alguien ponga el link en la barra de direcciones. Podrias intentar usar HTTP_REFERER para comprobar la pagina desde donde viene el navegante, pero es una variable que depende del navegador y tambien se podria falsificar.

La solucion es que el script que realice la operacion requiera que estes identificado. Puedes hacerlo poniendo el script en un directorio protegido por password, o usar tu sistema de gestion de usuarios (o el de Cluster) o sesiones o cookies. Por ejemplo:

Código PHP:

  <?php

if (tiene_permisos()) {

  realizar operacion

} else {

  echo "Usted no se encuentra autorizado para realizar esta operacion. En 5 segundos se autodestruira su windows.";

}

Saludos.

Manoloweb · #4 (**permalink**) 16/07/2003, 09:05

Una cosa que yo hago es agregar un numero "verificador" en una variable adicional...

Por ejemplo:

ID=12

Para sacar el verificador hago algo como esto...

(ID X 8) + 3

(12 X 8) + 3= 99

Y tomo el ultimo digito, es decir 9

$verif=substr(($ID*8)+3,-1);

Entonces a la hora de construir el link, hago esto:

<a href="index.php?accion=borrar&v=9&ID=12">

Así, si alguien le cambia el ID manualmente, no funciona el srcipt, ya que antes de procesarlo, hago la comprobación de nuevo...

if (substr(($ID*8)+3,-1)==$_GET["v"]){

Borro el registro

} else {

Muestro un error

}

A ver si les sirve

DINASEN · #5 (**permalink**) 16/07/2003, 09:35

ok muchas gracias muy bueno manolo ese truco al final lo que hice fue requerir un php con HTTP_REFERER y si lo puso directamente le mando a hacer puñetas...jejejejeje

Gracias a los dos

PD: en apunto el trikillo de manolo

Un Saludo

Bluesman74cl · #6 (**permalink**) 13/08/2003, 13:04

Hola a todos la verdad es que estoy revisando todos los temas porque estoy tratando de aprender PHP y esto me pareció un tanto interesante...

Yo vengo migrando de ASP y en ASP manejamos este tema con las variables Session y la instruccion es como sigue

<% if session("variable")= " " then
response.redirect"sinprivilegios.asp"

else %>

<html>
ta
ta
ta(código html, asp, etc)
</html>

<end if%>

No hay forma de hacerlo con php y las variables session de php?

DINASEN · #7 (**permalink**) 14/08/2003, 08:33

si claro es de la misma forma mas o menos en php, pero el problema aqui no es que el user inicie una sesion ya que eso lo podra hacer si es un usuario el problema es que pueda editar un registro o incluso borrar uno quen o sea suyo...

mira en las faq´s que seguro que hay teexplican el tema de sesiones y cookies

Un Saludo