Aplicaciones web: ¿Almacenar la identificación en campos ocultos es seguro?

Question

Pensé: no sé si soy lento.

Normalmente guardo el ID del ítem que estoy editando en un campo oculto. Luego en back-end (estoy usando PHP/Zend Framework por cierto), lo consigo para determinar qué elemento se edita. Pero luego pensé, en algo más seguro, por ejemplo. editar perfil, el usuario puede de alguna manera editar un campo oculto ¿no? Luego puede editar el perfil de otra persona. Sé por el perfil de edición, puedo obtener la id de la variable de sesión, pero ¿qué ocurre si obtengo algo que me obligue a almacenar el id en algún lugar?

Recibí ACL (Zend_Acl) Hago esto. Básicamente, tome la identificación de los parámetros de solicitud

$id = $req->getParam('id'); 

y luego verifique si el usuario registrado tiene permiso para editar el elemento. Pero la cosa es que me pregunto si la url es algo así como /users/edit/1 donde 1 es la identificación. Pero de alguna manera, el campo oculto se cambia a 2, ¿cuál será el parámetro de solicitud?

¿Cómo lidiarías con esto?

Answer 1

Debe almacenar algún tipo de identificación en el cliente; de ​​lo contrario, ¿cómo sabría qué artículo editar?
Esto no lo libera de obligatorio compruebe en el servidor que el usuario actual tiene privilegios para editar/ver el elemento editado.
Aparte de eso, ¿por qué le importaría cómo llegó a editar el elemento (ya sea por el uso legal de la herramienta web, o editando el campo oculto/lo que sea).

Answer 2

El almacenamiento de la identificación en un valor oculto no es del todo seguro. En general, almacenamos ID en la variable de sesión.

Answer 3

No debe basarse en nada enviado por el usuario. Siempre debe verificar los permisos de usuario en el lado del servidor. Un atacante puede preparar cualquier solicitud a su servidor.

Answer 4

como dijo ppshein, almacenar identificaciones sensibles en una var oculta no es seguro. ¿Almacenarías una contraseña en una varilla escondida? Es realmente fácil incluso para un pirata novato obtener esos datos.

Debe asegurarse de que el servidor impone todos los controles de acceso.

En su caso, debe asegurarse de que el usuario que está conectado (el de la sesión) es el propietario del perfil que se está editando. O que el usuario que realiza las ediciones tiene permisos para editar ese perfil (por ejemplo, es un administrador)

Answer 5

De acuerdo con todos los puntos anteriores, pero si realmente necesita almacenar algo en el lado del cliente por cualquier razón, siempre puede encriptar el datos y descifrar cuando necesita usarlo, pero una vez más, el uso de sesiones sería la mejor manera de manejarlo, ya que no son accesibles desde el lado del cliente.