Zend Framework Encryptar URL

lcervantes · #1 (**permalink**) 22/05/2009, 02:28

Hola Compañeros.
Estamos haciendo un backoffice y nos gustaría encriptar las URL que apararecen en el link.Exite alguna manera de poderlo hacer?
Alguna idea?

En el frontend no nos preocupa las URL, pero en el backoffice si.

Igual hay que tocal el bootstrap.

Gracias por vuestra ayuda.

Saludos,

GatorV · #2 (**permalink**) 22/05/2009, 08:08

Hola lcervantes,

No entiendo a que te refieres con "encriptar la URL", esa sería una forma de ocultar un error que puedes proteger de otra forma, que es lo que esperas hacer al obtener o porque quieres encriptarlo?

Saludos.

lcervantes · #3 (**permalink**) 24/05/2009, 00:59

Hola Gator
Ante todo gracias por responder.
Me refiero encriotación de URL a:
www.midominio.com/index/contenido/ver/5
Esto sería lo habitual en un sistema tanto frontend como backoffice.
En el frontend, no me importaría que estuviese así. Pero en el backoffice esta claro que esta url es facil de entender. Y me interesa que no se sepa que parámetros se le pasan, ya que es facil cambiar uno de los parámetros y poder acceder a otro contenido.
Mi intensión es si es posible, por ejemplo:
http://www.midominio.com/index/lasjd...jk967sd987skjh
donde
lasjdasdkjahsdkjashdkahsdkjahskdjk967sd987skjh contendría contenido/ver/5

Alguna idea.?

Saludos,

GatorV · #4 (**permalink**) 24/05/2009, 15:24

Como te comente antes, no sirve de mucho, lo mejor es que implementes seguridad directo en el controller para asegurarte que no puedan accesar o leer otros contenidos. Ya que encriptando la URL, solo estas "tapando" un problema mas grave de fondo.

Te recomiendo usar Zend_Acl para manejar los permisos.

Saludos.

Genetix · #5 (**permalink**) 25/05/2009, 10:48

Aquí tienes una guía de Zend_ACL

http://framework.zend.com/manual/en/zend.acl.html (ingles)

http://manual.zfdes.com/es/zend.acl.html (español)

lcervantes · #6 (**permalink**) 26/05/2009, 02:46

Hola GatorV y Genetix.
Gracias por vuestras respuestas.
Prometo mirarme Zend_ACL antes de sacar cualquier conclusión.
Seguro que soluciona el tema de seguridad de una manera excelente.

Por lo cque comentais que hace el Zend_ACL tiene muy buena pinta. Eso que se aplique seguridad en el controller esta muy bien.
Pero igualmente me gustaría de alguna manera que no se vean los parámetros que se envian por la URL. Entiendo que quitarlos es meramente imposible por eso digo de encryptarlos.

Una vez memire el Zend_ACL implementarlo ya que como bine dices solucionas perfectamente el tema de seguridad.
Ahora la encryptación de la URL ha pasado a ser un tema meramente estético, ya que el usuario no tendría que saber que controller llamo o bien cual es ql codigo del registro que estoy leyendo.

Se os ocurre alguna idea?

Genetix, me miraré los links.

Gracias a todos.
Saludos,

GatorV · #7 (**permalink**) 26/05/2009, 07:55

Pues pudes usar algo como base64encode/base64decode para los datos, aunque si tendrias que hacer tu propio Router en ese caso y agregarselo al FrontController en lugar del que tiene por defecto, ya que el Router es el encargado de eso, de crear y leer la URL y pasarle los datos del Request al FrontController.

Aunque como te digo no le veo el caso, ya que aun sabiendo los datos que se pasan por URL si tienes una buena seguridad de fondo no importa que los vean no podrían hacer mucho, pero si realmente lo quieres hacer esa es la forma.

Ve en la documentación de Zend Framework en el Controller el Router, vas a tener que implementar la interfaz Zend_Controller_Router_Interface, y ponerla por defecto en lugar del router normal de Zend.

Saludos.

Lube · #8 (**permalink**) 04/06/2009, 10:34

Hola GatorV:

Si no es recomendable o crees que no se debe encriptar una url, entonces
¿Cual seria la mejor forma de trabajar el registro y activación de usuarios para una web?

Ejm.

Un usuario se registra y le envio un link a su correo de esta forma:

..../miApp/usuarios/activar/5

Facilmente veo que esa url está expuesta, porque puedo cambiar el parámetro 5 y activo a otro usuario.

¿Alguna idea para manejar esto?

GatorV · #9 (**permalink**) 04/06/2009, 11:35

Sencillo, programa adecuadamente, recuerda la regla principal, no confies en los datos de entrada del usuario.

Lo que yo personalmente hago es una URL de este tipo:

Código:

/usuarios/activa/id/5/code/abc123

Es decir para activar un usuario necesitas el id y la clave, luego compruebo que la clave sea la correcta y que el id sea el correcto, y con eso procedo a activar el usuario.

Saludos.

Lube · #10 (**permalink**) 04/06/2009, 11:54

gracias GatorV.

Me parece una idea muy buena.