4

Quizás esto evitar la manipulación de los parámetros de la URL no sea solucionable y no pueda ser evitado, pero una inseguridad que me la han dado a saber.

Lo cual cualquier persona puede agregar productos al carro de la compra modificando el valor de la url por ejemplo:

http://example.com/updatecart.php?itemId=1
http://example.com/updatecart.php?itemId=11
http://example.com/updatecart.php?itemId=10
http://example.com/updatecart.php?itemId=20
http://example.com/updatecart.php?itemId=9

De esa manera directa un usuario agrega productos al carro de la compra, quizas no sea tan vulnerable, pero existe alguna forma de evitar esas manipulaciones

Este es mi código:

<?php
session_start();

$itemId = isset($_GET['itemId']) ? $_GET['itemId'] : "";



if ($_SERVER['REQUEST_METHOD'] == 'POST' and isset($_POST['qtyupdate'])) {
    for ($i = 0; $i < count($_POST['qtyupdate']); $i++) {
        $key = $_POST['arr_key_' . $i];
        $_SESSION['qty'][$key] = $_POST['qtyupdate'][$i];
    }

} else {
    $qty = isset($_POST['qty']) ? $_POST['qty'] : 1;
    if (!isset($_SESSION['cart'])) {
        $_SESSION['cart'] = array();
        $_SESSION['qty'][] = array();
    }
    if (in_array($itemId, $_SESSION['cart'])) {
        $key = array_search($itemId, $_SESSION['cart']);
        $_SESSION['qty'][$key] = $_SESSION['qty'][$key] + $qty;
    } else {
        array_push($_SESSION['cart'], $itemId);
        $key = array_search($itemId, $_SESSION['cart']);
        $_SESSION['qty'][$key] = $qty;
    }
}
header('location:cart.php');

?>
6
  • 1
    Puedes cambiar tu GET por un POST
    – Pak Lei
    Commented el 21 jun. 2019 a las 16:00
  • @PakLei Tengo una curiosidad al cambiarlo por método post, tendría que cambiar la etiqueta <a> por un formulario y, si se íntegra Ajax para agregar productos al carro de la compra.
    – Lou
    Commented el 21 jun. 2019 a las 16:16
  • así es, tendrías que cambiar el link por un request con parámetros. Ajax puede enviar peticiones con los parámetros como lo necesitas.
    – Pak Lei
    Commented el 21 jun. 2019 a las 16:21
  • Podrías agregar una key a tu GET, crea un archivo con una tarea programada que cada x tiempo el servidor acceda a ese archivo php que cambiará la key, haces un include a ese php y que verifique si la key es correcta, dime si entendiste y si no sabes cómo hacerlo, dime y te hago una respuesta más elaborada.
    – Patrick
    Commented el 21 jun. 2019 a las 16:31
  • Hola @Patrick Podrían ayudarme con la integración de Ajax, y todo aquello que me mencionas parece muy interesante pero no se como hacerlo me ayudas
    – Lily
    Commented el 21 jun. 2019 a las 17:48

1 respuesta 1

0

Puedes hacerlo usando una "key" o "token" de esta manera:

Creamos el archivo php "crearkey.php":

<?php
$caracteres = '0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ';
for($x = 0; $x < 10 ; $x++){
    $key = substr(str_shuffle($caracteres), 1);
    $keytxt = "key.txt"; 
        if(file_exists($keytxt)){
            $modifykey = fopen($keytxt, "w+");
            fwrite($modifykey, $key, 10);
            fclose($modifykey);
        }

        else{
            $createkey = fopen($keytxt, "w+");
            fwrite($createkey, $key, 10);
            fclose($createkey);
        }
    }

?>

Este creara un txt con el key, el nombre del txt puede ser modificado en la variable $keytxt.

Ahora creamos el archivo "key.php" que leera el txt y guardara la variable con la key

<?php
$keytxt = "key.txt";
$leerkey = fopen($keytxt, "r");
$key = fread($leerkey, filesize($keytxt));
fclose($leerkey);
?>

Ahora solo basta con incluir esto en nuestra pagina "http://example.com/updatecart.php", osea en tu archivo "updatecart.php"

<?php
include("key.php"); //Incluimos el php que contiene la key
if(isset($_GET["key"])){ //Comparamos si el url de la pagina contiene "key=lakeycreada" ejemplo: http://example.com/updatecart.php?itemId=12&key=lakeycreada
    $urlkey = $_GET["key"];// Obtenemos la key de la url con GET
    if($urlkey == $key) { // Comparamos la key obtenida por el URL con la key que contiene el archivo key.php
        echo "agregado al carrito con exito"; //Damos un mensaje si la key era correcta (se puede quitar en caso de no querer)
    }
    else{
        echo "no se pudo agregar al carrito"; //Damos un mensaje de error si la key no era correcta (se puede quitar en caso de no querer)
    }
}
else {
    $urlkey = ""; // Si la pagina no contiene "key=lakeycreada" en su URL, la variable urlkey es creada con contenido vacio
    echo "no se pudo agregar al carrito"; //Damos un mensaje de error porque la key no existia (se puede quitar en caso de no querer)
}
?>

A los enlaces de tu carrito debes agregarle un id mas, tu tienes "itemId" y debes agregarle uno mas que sera "key", ejemplo: "http://example.com/updatecart.php?itemId=1&key=lakeycreada" Ejemplo:

<?php
include("key.php");
echo "http://example.com/updatecart.php?itemId=".$itemId."&key=".$key;
?>

Luego desde el cpanel de tu host debes crear una tarea programada o cron job que entre a "http://example.com/ruta/crearkey.php" cada x tiempo, pueden ser minutos, como horas o dias, lo recomendable seria 1 o 2 minutos...

Edit: ¿Como crear la tarea programada?

1.- Abre el cPanel y busca la opcion "Cron Jobs"

introducir la descripción de la imagen aquí

2.- Elegimos con que dominio se realizara la tarea programada introducir la descripción de la imagen aquí

3.- Apretamos "alter crons"

4.- Ponemos cada cuantos minutos o horas se ejecutara la tarea (entrar a crearkey.php para crear una nueva key) y ponermos la url donde esta el archivo php

introducir la descripción de la imagen aquí

5.- Le damos a add cron

Y listo! Ya tendrias todo solucionado.

2
  • Hola @Patrick Gracias por el ejemplo :)
    – Lily
    Commented el 22 jun. 2019 a las 18:38
  • No hay de que! Saludos @Lily
    – Patrick
    Commented el 22 jun. 2019 a las 19:39

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.