1

Estoy pasando la id de un renglón dentro de una tabla para poder editar, y funciona bien pero me parece un error de seguridad que se ve en la url el id de el proyecto así:

http://localhost/Laravel/public/proyectoPreguntasFijas/3 

y que al colocar al final 4 o 5 o cualquier otro número pueda ver la información de otros proyectos

en mi vista el enlace se ve así:

<td>
    <a href="{{ route('proyectoPreguntasFijas',$proyecto->idProyectos)}}" >
       Preguntas fijas
    </a>
</td>

y capturo en rutas así:

Route::get('/proyectoPreguntasFijas/{idProyectos}', 'HomeController@proyectoPreguntasFijas')->name('proyectoPreguntasFijas');
Route::post('/proyectoPreguntasFijas/{idProyectos}', 'HomeController@proyectoPreguntasFijas')->name('proyectoPreguntasFijas');

mi controlador donde $primarykey es el id de la base de datos que compara con el id que mando de mi tabla se ve así:

public function proyectoPreguntasFijas($primaryKey)
    {
    $proyecto = Proyecto::findOrFail($primaryKey);
    return view('proyectoPreguntasFijas', compact('proyecto'));
    }

¿Cómo puedo evitar que se vea el id en el navegador o evitar que se puedan ver otras vistas con el id de otros proyectos?

1
  • 1
    Invesitga sobre los Policies y middelware de laravel, esto te ayudara a que algun usuario no autenticado o usuario autenticado lo puedan ver ( siempre y cuando ese usuario no tenga permisos para ver)
    – Dohko19
    el 17 abr. 2019 a las 16:57

2 respuestas 2

1

Voy a responder las dos preguntas:

¿Cómo puedo evitar que se vea el id en el navegador?

Si bien no es un problema directo de seguridad que se vea el id, si puede darle muchas ideas a alguien sobre la cantidad de información que hay.

Se puede solucionar utilizando slugs en vez de id, y hacer que estos sean el parámetro por el que se ejerce el Route Model Binding. En caso que no quieras generar los slug por tu propia cuenta, puedes utilizar este paquete, el cual incluye varios métodos muy potentes: https://github.com/cviebrock/eloquent-sluggable

¿Cómo evitar que se puedan ver otras vistas con el id de otros proyectos?

Esto se resuelve con la seguridad que le pongas a tu aplicación, bien sea por medio de middlewares o por policies, roles, permisos, etc., puesto que aún si reemplazamos los id por slugs o alguna otra convención y la persona la sabe, también puede acceder a estos registros.

1
  • me fue muy util creo que tendre un buen tiempo que dedicar a los sluggables lol el 17 abr. 2019 a las 17:17
0

En realidad no supone ningún problema de seguridad el que se pueda ver el id del proyecto ahí. Piensa que eso no le aporta mayor información al usuario que un número que está enlazado a dicho proyecto, que lo identifica, pero nada más. De hecho, es una práctica my habitual y los creadores de Laravel usan esta forma como un standart. En ese sentido no tienes por qué preocuparte en absoluto.

Creo que tus temores vienen porque quizás te hagas la siguiente pregunta:

¿Qué pasa si alguien que no debería poder tener acceso al proyecto 4 accede a través de la URL al mismo?

Lo que tendrías que hacer en ese caso es comprobar que el usuario que intenta acceder (el usuario logueado, el usuario que está navegando en esa sesion, ...llamalo como quieras) tiene acceso al proyecto con el id al cual intenta acceder, y en caso de que no tenga acceso, redireccionarlo a una página por defecto donde le indiques que no puede ver dicho proyecto; pero no deberías de buscar como solución el alterar el comportamiento por defecto con el que trabaja el framework.

3
  • creo que entiendo, basicamente dentro del controlador agregar un if(){} para el usuario donde impida seguir adelante si no cumple con las credenciales corectas el 17 abr. 2019 a las 16:42
  • 1
    @clausvargas eso es. :)
    – cooper
    el 17 abr. 2019 a las 16:48
  • 1
    @clausvargas no, esto no debe ser responsabilidad del controlador, para eso hay policy en Laravel o incluso middlewares.
    – Shaz
    el 17 abr. 2019 a las 16:51

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.