6

Buenos días comunidad:

Actualmente estoy trabajando un sistema, el redireccionamiento de validación, es decir despues que el sistema valida todos los datos ingresados y procede a darle acceso al sistema, siempre lo hacia en los pequeños proyectos que había trabajado de esta manera:

header('Location: blablabla.php');

Sin embargo hace poco una persona mencionó que era más seguro hacerlo de esta manera:

header('Location: blablabla.php', true, 301);
exit();

He estado buscando documentación acerca de true, 301 a ver por qué y que tan seguro es y realmente no consigo en la web ninguna información que me satisfaga, apelo a la comunidad para sus recomendaciones.

Feliz día

5
  • 1
    debes hacerlo en dos header lo ideal el primero algo como header('HTTP/1.1 301 Moved Permanently') y el segundo header('Location: blablabla.php') Commented el 7 may. 2018 a las 12:42
  • Gracias Jack por tu respuesta, pero lo que realmente quiero saber es el por qué se debe hacer así, una explicación pedagógica para poder entender la diferencia y los rasgos caracteristicos de dichos comandos. Commented el 7 may. 2018 a las 12:46
  • la explicacion es sencilla , el header es como un push en un array tienes que estar insertando Commented el 7 may. 2018 a las 12:54
  • 2
    Dependiendo de lo que estés haciendo, que la redirección sea permanente puede ser un error garrafal (el navegador y los ISP lo cachean y no hay manera de decirles que lo deshagan si resulta que no es permanente). Y si estás haciendo comprobaciones (después de enviar un formulario) me cuesta creer que lo que quieras sea una redirección permanente (podría darse el caso, pero sería raro).
    – Alvaro Montoro
    Commented el 7 may. 2018 a las 13:12
  • Ves hermano respuestas como esas son las que estoy buscando, el problema es que existe un fallo en la seguridad del sistema y se puede acceder al panel admin del mismo deteniendo la ejecución del header, segun me recomiendan a traves de un redirect true 301 se puede evitar esto, pero no tenia ni idea de esto que comentas, por eso antes de modificar codigo me vine para aca. Commented el 7 may. 2018 a las 13:20

3 respuestas 3

4

Primero que nada aquí esta el manual de header de PHP, siguiente aqui esta el "codigo de error" HTTP.

Paso a explicar, nada en la pagina debería cargarse antes o después de una redirección, por eso se utiliza en "exit();", es para cortar la ejecución y asegurarte de que no se ejecutará otra redirección de header por ejemplo.

A su vez, como notaras por la documentación antes mencionada, el código de error pertenece a digamos "un aviso de redireccion" para el navegador. Muchos navegadores o complementos para los mismos detectan mutiples redireciones y las bloquean (por sospecha de sitios fraudulentos o abuso de publicidad).

El "True" es innecesario realmente, dado que es el valor por defecto, seguramente lo utiliza para "llegar" al tercer argumento que es el código de error, podría utilizar "null" sin variar el funcionamiento.

1
  • Muchas gracias por tu respuesta y por la documentación que has dejado, me has ayudado bastante. Commented el 7 may. 2018 a las 13:21
3

Dependiendo de lo que estés haciendo, lo que te sugieren va a ser mejor o simplemente lo mismo.

Por qué dicen que es mejor: porque el header no tiene por qué ser el último comando que se ejecute en tu página. Puede darse el caso de que tengas más código PHP o HTML después del header y éste se ejecutará y enviará al navegador. Vamos a ver unos escenarios en los que no poner exit (o die) pueden cambiar el resultado:

  • Si en el código que viene después hay otro header, el navegador puede no redirigir a la página que esperas (se redirigirá al último);
  • Si ocurre un error con el header, el código se seguirá ejecutando y el usuario podrá ver contenido que no debería (aunque una buena estructura del programa evitaría este problema);
  • Si el usuario desactiva la cabecera de Location (en cuyo caso ocurriría lo que se menciona en el caso anterior).

Como se puede ver, todos esos escenarios solo aplicarán si hay código después del header pero si el header es el último comando en la página, tener exit después o no, va a dar igual porque el resultado siempre será el mismo.

Y sobre el 301, como te pongo en un comentario: la redirección por defecto que hace el header es un 302 (redirección temporal). Si no tienes un motivo de peso para que sea una redirección permanente (301), te recomendaría que no la hicieras así porque puede darte dolores de cabeza (el navegador y los ISP lo cachean y no hay manera de decirles que lo deshagan si resulta que no es permanente). Y si estás haciendo comprobaciones (después de enviar un formulario) me cuesta creer que lo que quieras sea una redirección permanente (podría darse el caso, pero sería raro).

1
  • Gracias, me da un poco de temor usarlo por el tema del caché del ISP. Commented el 7 may. 2018 a las 15:14
3

Por defecto header envia el parametro replace(donde se envia el true) como true en caso de que no le sea indicado.

Segun su documentacion:

El parámetro replace opcional indica si el header debe reemplazar un encabezado anterior similar o agregar un segundo encabezado del mismo tipo. Por defecto, se reemplazará, pero si pasa FALSE como segundo argumento, puede forzar múltiples encabezados del mismo tipo.

Segun el mismo ejemplo, se puede enviar varios headers con el mismo nombre pero con diferentes valored:

<?php
header('WWW-Authenticate: Negotiate');
header('WWW-Authenticate: NTLM', false);
?>

En el ejemplo indicado, se enviaran 2 headers tanto con el valor Negotiate y NTLM. Si deseas que solo se envie los headers como unicos, indicale true.

Ahora bien, en como seria esto mas seguro o no dependeria de como estes manejando los headers en tu aplicacion, algo que no explicaste.

1

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.