1

He tenido problemas de seguridad con algunas de mi urls, como esta.

http://strol.test/panel/cuentaeditar/10

ya que esta consulta es un usuario predeterminado, si cambio 10 por 11 resulto viendo datos de otro usuario, obviamente esto no es seguro.

No tengo idea, de como puedo hacer para proteger o aplicar un permiso especial a las consulta eloquen, para que no deje consultar datos de un usuario que no ha iniciado sesion.

se que hay tecnicas para encryptar el id, pero lo mas practico es aplicar seguridad, alguien sabe como puedo remediar esto?

Mi metodo actual

 public function cuentaeditar(Request $request, $id)
    {
        $request->user()->authorizeRoles(['admin','referido','gestion']);
        $user=user::find($id);
        return view('usuario.editcuenta',compact('user'));
    }

Mi ruta actual.

Route::post('/panel/cuentaeditar/{id}', 'CuentaController@cuentaeditar')->name('cuenta.cuentaeditar');

1 respuesta 1

0

Hay muchas formas de solucionar esto, la más simple tal vez es comprobar con el id si es el usuario que inició sesión:

public function cuentaeditar(Request $request, $id)
{
    if (auth()->user()->id == (int) $id) {
        // Tiene permiso de editar
    } else {
        // No tiene permiso
    }
}

De hecho esta comprobación podría hacerse de forma mucho más profesional, en un policy, en un middleware, de muchas otras formas antes de llegar al controlador, pero como he visto en otras preguntas que el conocimiento es muy básico, prefiero proponer esta solución.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.