Usar variables como paginas

[Jason512]

Queria saber como se le llama al proceso de usar variables en lugar de los nombres de los archivos:

index.php?pagina=principal en lugar de principal.php

Que ventajas tiene y que posibles problemas de seguridad puede generar su uso.

Gracias por sus respuestas.

[isabellawebs]

Mira, eso se llama "hacer un include" .

La ventaja que tiene es que miras siempre "un marco de tu página" y solo un fragmento es el que cambia....o sea el contenido que cambia es otra pagina que se "INCLUye" en el marco.

La pregunta del tema de seguridad, se la dejo a otro colega, aunque si tuviera que apostar, diría que es mas seguro de cierta manera. Mira mi web y date cuenta que cambia y que no. isawebs.net


Si te parece interesante mi respuesta, ponme un Karmita.

[GrupoC]

Buenas,

No sé si te refieres a lo que dice isabellawebs, pero igual te refieres a que en lugar de aparecer esto:

www.ejemplo.com/index.php?id=1 aparezca...

www.ejemplo.com/index/id/1

Es decir, una url amigable. Esto se logra mediante el módulo de Apache mod_rewrite. En GOOGLE aparecen millones de entradas sobre ese tema :D.

Lo bueno que tiene es que crea url's más legibles y más indexables por los buscadores.

Si me equivoco y te refieres a lo que dice isabellawebs, pues complemento su respuesta, en el tema de seguridad:

Si tu haces un include de una página que te llega por GET, puedes sufrr un ataque, denominado REMOTE FILE INCLUSION. Esto es...

Yo te mando esta URL: www.ej.com/x.php?pag=http://www.mipag.com

Y tu código es como sigue:

include($_GET["pag"]);

Esto estaría bien, pero tiene esa vulnerabilidad RFI, dado que si yo modifico la URL y le pongo esto:

www.ej.com/x.php?pag=www.mipagmaliciosa.com

Pues tu lo incluirias igualmente, siendo mi pagina maliciosa, con código que puede dejar al descubierto alguna parte de tu aplicación.

¿Solución? Filtrar la entrada: si lo que llega por GET no es lo que esperas, cancelas el proceso, o muestras un mensaje de error.

Espero que te haya servido. Cualquier cosa extra, comenta.

Saludos!

[isabellawebs]

Muy bueno lo que dices sobre get, a ver si un dia nos enseñas cómo hacer eso que dices o como se denomina, para ser mar certeros a la hora de buscar en google.

[IEKK]

Iniciado por isabellawebs

Muy bueno lo que dices sobre get, a ver si un dia nos enseñas cómo hacer eso que dices o como se denomina, para ser mar certeros a la hora de buscar en google.

web modular (usando parámetros claro)

[isabellawebs]

No, yo me referia a lo de seguridad.

[IEKK]

?

Sólo tienes que validar la variable que recibes.

P.E:
si debe ser un número: isnumeric()
si debe tener X caracteres strlen()


y después hay varias funciones que se pueden usar:
trim()
strip_tags()
stripslashes()

etc etc

Aunque lo importante de una modular también es comprobar que el archivo exista.

[GrupoC]

Hola isabellawebs, busca RFI en Google, y verás lo que es.

Una explicación buena es esta mía: http://webcodedesigner.wordpress.com...inclusion-rfi/ :D

Saludos!

[Jason512]

Yo simplemente lo estaba haciendo algo asi:

switch ($_GET['pagina']) {

case "principal":
include ("principal.php");
break;
case "trabajo":
include ("trabajo.php");
break;
default:
header ("Location: index.php");
break;
}

No se si es suficiente para evitar un ataque RFI.

[s00rk]

Iniciado por Jason512

Yo simplemente lo estaba haciendo algo asi:

switch ($_GET['pagina']) {

case "principal":
include ("principal.php");
break;
case "trabajo":
include ("trabajo.php");
break;
default:
header ("Location: index.php");
break;
}

No se si es suficiente para evitar un ataque RFI.

Si, eso es suficiente para evitar RFI aunque siempre al agregar un nuevo apartado deveras agregarlo, yo en esto lo que hago es buscar el archivo en el directorio de mi servidor si esta lo incluye sino le manda un mensaje que el modulo no existe.