seguridad en paso de variables hidden

f_murciano · #1 (**permalink**) 30/05/2008, 03:31

Hola a tod@s;

Quisiera saber cual es la mejor manera de pasar variables entre páginas, ya que es sumamente sencillo modificar las variables hidden.

Había pensado en pasar tanto el valor de la variable como el nombre de la misma encriptadas pero no encuentro algoritmos de encriptación reversibles medianamente fiables (de hecho he encontrado muy pocos).

¿que solución me recomiendan?

Muchas gracias por todo y disculpen las molestias.

Reciban un cordial saludo.

DarkJ · #2 (**permalink**) 30/05/2008, 03:43

Lo que usan paypal y otros tpvs: una variable de comprobacion. Esta se genera encriptando (con md5 o sha) la concatenacion de los valores que quieres comprobar que no varian con un valor que solo saben el que genera la variable y el que lo comprueba. Esa varible la pasas tambien por el formulario. Al recibir el formulario, vuelves a generar el valor de comprobacion y miras si coincide con el que te ha llegado del formulario. Si coinciden, es que no se han modificado los otros valores.

Si es todo en tu propia pagina, podrias usar sesiones para almacenar los valores.

f_murciano · #3 (**permalink**) 30/05/2008, 07:11

Gracias por responder DarkJ,

A ver, no me he enterado muy bien.

Supongamos que tenemos 3 campos hidden junto con otros datos del formulario que también vamos a mandar. Estos hidden son id, nombre y apellidos.

Tendría que concatenarlos junto con un texto clave (por ejemplo: "pepe"), encriptarlos y mandarlos en una nueva variable. ¿es más o menos así?

Pero, en la recepción del formulario ¿como conozco los valores hidden?

Muchas gracias.

Un saludo

IkerPerez · #4 (**permalink**) 30/05/2008, 07:17

deverias usar sesiones :p

f_murciano · #5 (**permalink**) 30/05/2008, 07:19

Hola IkerPerez

Ya he pensado en las sesiones, pero si el volumen de variables y usuarios es muy grande no sé si es lo más recomendable para el óptimo funcionamiento del servidor.

Saludos y gracias por responder.

f_murciano · #6 (**permalink**) 30/05/2008, 08:11

Hola nuevamente,

sólo es para comunicar a DarkJ que más o menos me he enterado de su solución. Es muy similar (por no decir igual) al tratamiento de claves y su encriptación guardando en base de datos la clave encriptada.

Creo que aplicaré tu solución.

Muchas gracias.

Un saludo.