1

Envío datos a través de jquery $.ajax al servidor y ahora que he de enviar la id del usuario pensé que esto no es muy seguro... ya que cualquiera que vaya a código fuente o a inspeccionar el código puede ver perfectamente las variables, sus valores (verán el id de usuario), dónde estoy enviando y con qué nuevas variables se están enviando.

$(document).on("click", '.boton', function () {
    var user = <?php echo $user_actual; ?>; // se ve así: var user = 2;
    var datos = <?php echo $get_datos; ?>; // se ve así: var datos = 11;
    $.ajax({
        url:'../backend.php',
        type:'GET',
        data:{user_ident:user, datos_ident:datos},
        success:function (data) {
        }
    });
});

¿Que tendría que hacer? Lo único que se me ocurre es esconder el JQuery con echos de PHP.

4
  • 1
    (Sin saber de qué va tu web) Tus variables de usuario deberían estar en la sesión de php, así no sería necesario que lo envíes como lo estás haciendo (haciendo el echo para pasarlo a variable de javascript y enviándolo)
    – Dibort
    Commented el 29 ago. 2018 a las 13:58
  • @Dibort pues resulta que la variable $user_actual es la variable que hace referencia al session user id, pero si pongo el $_SESSION[user_id] directamente sucede lo mismo
    – Menzezzz
    Commented el 29 ago. 2018 a las 15:52
  • @Dibort tenias razón ahora simplemente sin enviar nada con ajax desde el servidor directamente lo puedo usar, gracias.
    – Menzezzz
    Commented el 29 ago. 2018 a las 19:56
  • 1
    Te tendrías que preguntar por qué renderizas en el JS los datos del usuario, para volver a mandarlos al backend otra vez. Lo lógico sería mandar únicamente el ID, lo mínimo que necesites para poder identificar al usuario. En principio el ID no debería ser un dato preocupante de que sea conocido por el cliente, pero si lo fuera, puedes cifrar el ID a la hora de renderizarlo, a ser posible cifrándolo en función de la sesión de usuario para que en cada sesión se renderice de forma diferente. Después en el backend lo descifras para poder tratar con él.
    – ordago
    Commented el 16 abr. 2020 a las 7:16

2 respuestas 2

0

Para datos sensibles y no solo sensibles, si no los que no quieres que el usuario pueda llegar a modificar en alguna de tus peticiones ajax, deberías hacer uso de la variable superglobal $_SESSION. Evitando así tener que enviar esta información en cada petición.

0

Quizás pasaron muchos años, pero quizás esto le ayude a alguien.

// una forma sencilla para que no accedan a los datos que quieres enviar por ajax
var id = 45;

!(function(widow, document){ 
// La funcíon IIFE (Expresión de función ejecutada inmediatamente),  esta función la usa la mayoría de redes sociales

  var id2 = 50;
  
  console.log("Dentro de iife", id2);

})(/* aquí puedes entregarles datos, los más usados son window y document */ window, document);

console.log("Fuera de iife", id)

console.log(id2) // si llamamos esta variable fuera de iife aparecerá como indefinida

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.