se puede ocultar una URL?

ferranWEB · #1 (**permalink**) 08/01/2009, 11:16

buenas a todos,

mi pregunta es la siguiente. tengo una intranet en la cual mis clientes ven la info de unos productos determinados. hasta aqui ninun problema.

pero claro, andaba pensando que al dar una url pasando el idproducto, es evidente que un cliente pueda caer en la cuenta y cambiar el nº de id y ver la info de otrop producto, cosa que no me interesa que pase. es decir:

tengo un listado de productos, que ve cada cliente por separado (y produictos diferentes). tengo un link que pone

Ver + Info

y esto abre una URL tipo loquesea.com/productos.php?idproducto=2

puedo quitar esa url para que no caigan en la tentacion de cambiar el id? puedo ocultar esa direccioon o utilñizar otro sistema??

saludos,

GatorV · #2 (**permalink**) 08/01/2009, 11:32

Pues ocultar URL no es posible, a menos no con PHP ya que esta en el cliente y es seguridad por obscuridad...

Lo mejor es que valides en la sesion y tengas un control de que clientes pueden ver que productos, y asi si ponen otro id de producto que no les pertenezca le muestras el error.

Saludos

farra · #3 (**permalink**) 08/01/2009, 11:46

Crea un logueo... dale un usuario y clave a cada cliente y ahi asigna a cada cliente solo los productos que quieras que vea...

kronenmix · #4 (**permalink**) 08/01/2009, 12:21

Y si no, añade un campo hash en la base de datos, que contenga un codigo de producto no lineal, algo así como:

id 1 hash 32234jhg4j32g4523645lsdsd nombre producto1

creas un índice en ese hash y luego haz las consultas por hash, en lugar de por id, de forma que la url quedaría
loquesea.com/productos.php?idproducto=32234jhg4j32g4523645lsdsd

jcxnet · #5 (**permalink**) 08/01/2009, 12:32

O haces la búsqueda de acuerdo al hash generado:
loquesea.com/productos.php?idproducto=32234jhg4j32g4523645lsdsd
y se buscaría como:
SELECT * FROM Productos WHERE MD5(id)='32234jhg4j32g4523645lsdsd'

diegonazho · #6 (**permalink**) 08/01/2009, 12:37

pero ocultar no del toda la paginas me explico
www.forosdelweb.com/foros/php/manuales.php de ese link que quede asi

www.forosdelweb.com que siempre se vea ese link no mas se `puede ahcer??

nicolaspar · #7 (**permalink**) 08/01/2009, 13:19

Si, se puede. Es HTML, ej:

Código:

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Frameset//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-frameset.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=iso-8859-1" />
<title>Tu page</title>
</head>
<frameset rows="0,*" frameborder="no" border="0" framespacing="0">
  <frame src="bobo.htm" name="topFrame" scrolling="No" noresize="noresize" id="topFrame" title="topFrame" />
  <frame src="index2.php" name="mainFrame" id="mainFrame" title="mainFrame" />
</frameset>
<noframes><body>
</body>
</noframes></html>

Comentarios:
1- bobo.htm no tiene porque existir, no se verá.
2- Crearás una página que tendrá el código anterior. Llamala index.html y será la home del site, dale prioridad en apache/iis; o bien llamala index.php y el site ponelo a partir de index2.php por ejemplo.
3- Siguiendo el ejemplo index2.php tendrá el punto de partida a tu sitio. En el browser siempre verás el nombre del comentario anterior en la barra de direcciones, aunque todos los links de manera natural se navegarán dentro del frame mainFrame.
4- Es transparente, nadie verá nada raro.
5- Es importante que sepas que en el código fuente del iframe, o mismo en el rollover de los links estará la url para llamar a los mismos, por eso leete el punto 6.
6- Para esconder el ID no basta con un MD5, si hay maldad pueden hacer un brutal force, es simple. En todo caso puede ser mejor usar algo así: http://my2bits.wordpress.com/2007/09...on-md5-en-php/

Espero que te ayude ;)

kronenmix · #8 (**permalink**) 08/01/2009, 13:22

Cita:

Iniciado por jcxnet

O haces la búsqueda de acuerdo al hash generado:
loquesea.com/productos.php?idproducto=32234jhg4j32g4523645lsdsd
y se buscaría como:
SELECT * FROM Productos WHERE MD5(id)='32234jhg4j32g4523645lsdsd'

Sí, eso no es mala idea tampoco.

eddwinpaz · #9 (**permalink**) 08/01/2009, 20:47

me parece inhutil hacer eso.. para poder evitar eso lo que tienes que hacer es una comparación con los ID ejemplo si el ID le pertenece a un usuario pues lo ve y si no no. ejemplo

SELECT contrato FROM contratos WHERE usuario_id=3

la tabla seria la siguiente

[contratos]

id_contrato
contrato
id_usuario

[usuarios]
id_usuario
nombre
fecha

ejemplo si quisiera ver el contrato de otra persona me seria imposible si mi ID no esta en ese contrato y es una mejor manera que estar haciendo cifrados innecesarios que a la final terminaran tomando a la larga muchos recursos de queries. saludos espero que te sirva mi consejo.

lucasan · #10 (**permalink**) 08/01/2009, 21:51

Otra cosa que puedes hacer es mediante un .htacces cambiar la forma en que se muestran los productos en la url.

Ejemplo:

En vez de:

http://tupagina.com/producto.php?id=1

Muestre:

http://tupagina.com/categoria/martillo

http://tupagina.com/categoria/pantalon

Mira un ejemplo, yo lo hice en esta página http://www.ventoacoustic.com/productos/Saturn

No creo que tus usarios sean tan curiosos como para cambiar el nombre de los productos en la url, o se cansarían de ver una 404.