-4

estoy creando un sitio y requiero ocultar cierta información a los usuarios de tal manera que no puedan acceder a las variables.

Mi código es el siguiente:

   <?php MIVARIABLE = 'https://miurl.com'; ?>
   <script>
   const URL = MIVARIABLE;
   </script>

Sé que si coloco echo MIVARIABLE en el script va a aparecer la URL, quisiera que no pudieran acceder a esa información ya que la data que voy a pasar es sensitiva. Otra cosa, requiero esa interacción, es decir, necesito tomar las variables desde el php y poderla usar en el javascript.

1
  • Para que quieres eso? javascript es front-end y en el front puedes ver cualquier dato solo vastara con ver que hay una constante que se llama url y colocar en la terminal "url" y por mas escondida que la tengas devolvera su valor. Si recibes esos datos es porque vas a usarlos en pantalla de alguna forma. Y si se estan mandando datos de mas te sugiero mapear los datos desde el back-end
    – Jhon
    Commented el 14 jun. 2020 a las 7:11

2 respuestas 2

5

Lo de tomar las variables de PHP y usarlas en javascript para mi es totalmente irrecomendado, se supone que javascript no deberia mezclarse con PHP, mas que todo por la legibilidad del código, ya que para poder que puedas usar directamente variables de PHP en javascript debe cumplirse la condicion de que el arhivo tiene que tener extension .php, y como sabras los archivos javascript usan extension .js.

Ahora tu pensaras...

Vale y entonces porque no simplemente le cambio la extension al archivo .js y lo llamo?, pues pasa que al ser un archivo php requerido desde un script lo que pasara es que PHP no compilara ese código de la forma en la que lo deberia hacer, puesto que cuando lo requieres con una etiqueta <script> le estas diciendo al codigo que vas a manejar un tipo de archivo no reconocido de manera directa por los navegadores (apache es el que se encarga de traducir PHP a código interpretable por el navegador), por lo tanto simplemente no es buena opcion hacer eso, puesto que apache no podra hacer que PHP compile ese código como lo esperas que haga al este encontrarse en una etiqueta script apuntando a un archivo externo.

La otra opcion seria que en el mismo archivo donde requieres usar PHP y javascript en conjunto tengas una etiqueta script que NO apunte directamente a otro archivo .js, si no que directamente encierre el codigo javascript que quieras usar en conjunto con PHP, algo de este estilo:

index.php:

<html>
  <head>
  </head>
  ...
  ...
  <body>
    
    <?php $MIVARIABLE = 'https://miurl.com'; ?>
    <script>
       const URL = "<?php echo $MIVARIABLE; ?>";
    </script>
  </body>
</html>

Lo cual tampoco seria una buena idea puesto que la idea es nunca mezclar el frontend con el backend, de todas maneras lo otro del porque te digo que no es buena idea es porque bajo esta solucion estaras limitado a usar codigo javascript dentro del mismo HTML, lo cual ya te digo yo que seria terrible para la manejabilidad del codigo.

Respecto a sobre como puedes ocultar esa URL enrealidad NO se puede de manera directa, considera que hay multiples maneras en las que el navegador confabula para poder que puedas ver el codigo fuente de una pagina.

Un ejemplo muy sencillo es si le das click derecho a alguna pagina y seleccionas ver código fuente de pagina, directamente en esa parte te dejara ver los scripts, como estan constituidos y su información.

Otra opción por la cual la persona podrá ver esta información sin problemas es simplemente usando la consola, puesto que, si NO usas algo llamado encapsulación, tu código será directamente modificable desde la consola.

Por ejemplo puedes probar a en tu pagina darle F12 y en el apartado consola trata de escribir el nombre de una variable que tengas en tu código, el resultado es que la consola te la reconocerá y te mostrara en el autocompletado el nombre de tu variable.

Puedes solucionar esto usando encapsulamiento, una forma de crear encapsulamiento es poner todo tu script dentro de una función de la siguiente manera:

//AQUI NO

window.onload = ()=>{

  //TODO tu codigo debe ir aqui!
  alert("Codigo encapsulado!");

}

//AQUI TAMPOCO!

Notese que usar varias encapsulaciones no significa que el programa sea mas seguro, apartir de la primera encapsulacion las siguientes son innecesarias o irrelevantes.

Otro problema es la pestana networking, la cual sabotearia cualquier intento que hagas por ocultar la URL real para que el usuario no pueda acceder a ella, puesto que el usuario de todas maneras puede ir simplemente a networking y sin saber directamente cual es la URL que usas podra acceder a ella si no tienes cuidado.

Porsupuesto claro si es que tu haces algun tipo de peticion hacia esa URL, de lo contrario no se reflejaria en networking.

Asi que mi propuesta de solucion es la siguiente:

Usar algo llamado CORS del lado del servidor para proteger ese recurso (supongo yo que esa es una URL de tu dominio y tu quieres acceder es a un archivo PHP que se encuentre en tu servidor).

Si esto es asi, puedes usar las Cross Origin Resource Sharing, (CORS), para mejorar un poco la seguridad del archivo.

por ejemplo, si tu URL apunta a enviarDatos.php, AL INICIO del documento PHP colocarias la siguiente linea:

<?php

   header("Access-Control-Allow-Origin: https://miurl.com");

?>

Si bien no es que esto resuelva el problema del todo, esto negara el acceso al recurso de esa URL para cualquier otro dominio externo o foraneo al tuyo.

Y que pasa si el usuario esta en el mismo dominio?

Para este caso te diria que si lo que quieres proteger es un recurso que vayas a cargar en tu pagina para que este NO sea descargable NI visible o tan siquiera accesible de manera tan directa, como por ejemplo imagenes, videos, sonidos, documentos, etc (cualquier cosa que pueda ser escrita en un archivo), puedo referirte a este enlace en el que explico de manera mas detallada como puedes proteger esos recursos de mejor manera para poder que el acceso sea mucho mas complicado:

¿Cómo puedo bloquear la combinación de teclas Ctrl+U y Ctrl+S?

Si bien por el titulo no parece algo relacionado el fin ultimo en esa pregunta era parecido a lo que planteas, solo que con archivos que la persona cargaria en su pagina (Media).

Si lo que quieres no es ocultar un Media que vayas a cargar en la pagina, si no directamente la URL como digo la pestana networking siempre te delatara, por lo tanto aunque se encripte o se codifique la URL desde el frontend (no es lo mismo codificar que encriptar), para poder hacer la petición hacia el otro archivo se debe hacer con la URL desencriptada, por lo que he ahí el problema mas grande, la pestana networking siempre va a delatarte.

Por el momento no conozco mas a fondo sobre de que manera se podria proteger mas a fondo ese recurso ademas de las CORS, htaccess y el link adjuntado, sin embargo cualquier propuesta que ayude a mejorar aquello que he dicho es bien recibida.

EDIT

De hecho una forma que se me ocurre de poder ocultar esa URL es simplemente no ponerla en tu HTML y rogar por que usuarios que no sean tan avanzados no descubran que puedes ver las peticiones hechas a otros archivos y la direccion a la que se hicieron en la pestana networking.

La forma que pienso en la que podrías mantener alejada esa URL de las manos de la persona es creando un script como tipo module y en vez de usar esa variable URL directamente en el nuevo script tipo module hacer uso de la sentencia import de ES6 hacia otro archivo JS desde ese archivo tipo module, este aspecto y el porque funciona lo describo de mejor forma en el enlace que he puesto, deberias mirar el enlace y fijarte atentamente en lo de la sentencia import.

Ya que pese a que el código de los script tipo module pueden verse al igual que los scripts normales, la diferencia radica en que cuando usas la sentencia import en un script tipo module, las cosas que se esten importando mediante la sentencia import de ES6 NO podrán verse en el código que importa el modulo, y al momento de que desees descargar la pagina el navegador SI te dejara descargar la pagina, pero NO sus módulos, por lo que considéralo un pequeño hack para el caso en el que la persona no conozca lo de la pestana networking.

4
  • Complemento, la variable no tiene que ser una URL, fue lo primero que me vino a la mente, puede ser una llave privada o cualquier otra información sensible que no deseo que el usuario conozca y que trato de que se ejecute fuera de su alcance. En javascript vi que hay unos archivos llamados .env, los cuales no se pueden modificar, mientras lo que busco requiero sea algo más dinamico Commented el 14 jun. 2020 a las 3:48
  • Mi respuesta tiene la respuesta a aquello que me dices, hay que leerla mas detenidamente para encontrar la parte en la que se habla de ello, mas especificamente el link que propongo por el que te des una vuelta, la informacion despues del EDIT puede resultarte tambien igual de util. asi como lo que dije de encapsulamiento de codigo.
    – Layer
    Commented el 14 jun. 2020 a las 3:57
  • Es mas, si esa es tu duda, la unica forma que tiene el usuario de poder acceder a tu codigo y manipularlo directamente es por medio de la consola, pero si la consola no reconoce el codigo el usuario no podra manipular el codigo de manera directa, esto lo solvento en mi respuesta en la parte donde hablo sobre encapsulamiento, y por si las dudas y hacer mas seguro el codigo es buena idea leer lo que esta debajo del edit ;3.
    – Layer
    Commented el 14 jun. 2020 a las 4:04
  • Posdata, para ser mas claro, me refiero a que en la ultima parte menciono algo sobre modulos, ellos no sirven solo para que puedas esconder codigo, si no que sirven para muchas otras cosas, entre ellas esconder lo que desees de tu codigo, ya sea URLS, imagenes, funciones, todo el codigo etc. NO DE MANERA DIRECTA, pero SI DE MANERA INDIRECTA, para entender a lo que me refiero hay que leer bien esa parte, porque quizas algunas personas diran que el hecho de usar un script type module no esconde el codigo y es cierto, para hacerlo hay que procurar hacer algo mas mencionado en la respuesta.
    – Layer
    Commented el 14 jun. 2020 a las 4:23
0

Con este script en modo función puedes ocultar tanto las variables como los valores que están llevan consigo, arrojándote una URL GET totalmente ofuscada.

Se crearán dos archivos PHP uno en que creará el link o enviara la url para mi caso (index.php) y otro que será el receptor (receptor.php).

Index.php

<?php
 function codifica_urlget(string $cadena):string
 {
        $cadena = utf8_encode($cadena); // Codifico a UTF-8
        $control = "Esteman106Control";
        $cadena = $control. $cadena . $control;  // Agrego al inicio y al final la palabra de control
        $cadena = base64_encode($cadena);  // Codifico en Base64 
        return $cadena;
}
 
echo '<a href="http://localhost/blog/receptor.php?'. codifica_urlget('Id_Usr=2017&Nombre=Esteman106') .'" >Haz Click</a>';

receptor.php

<?php
function decodifica_urlget(string $cadena){ 
      $arraycad = explode("?",$cadena); // Creo array apartir de la URL, separandolo por ?
      $cadena = $arraycad[1]; // Utilizo segundo array
      $cadena = base64_decode($cadena); // Decodifico
      $control = "Esteman106Control"; // la misma frase de control
      $cadena = str_replace($control, "", "$cadena"); // Remuevo la frase de control
      $cadena_get = explode("&",$cadena); 
        foreach($cadena_get as $value)
          {
            $val_gets = explode("=",$value); 
            $_GET[$val_gets[0]]=utf8_decode($val_gets[1]);
          }
}
 
decodifica_urlget($_SERVER["REQUEST_URI"]); // Recojo la url del navegador y lo arrojo al a funcion decodificadora
 
if ($_GET['Id_Usr'] and $_GET['Nombre']){
    echo '<p>Mi Id es: ' . $_GET['Id_Usr'] . '</p><p> Mi Usuario es: '. $_GET['Nombre'] .'</p>';
}

Las pruebas se crearon localmente recuerden que pueden cambiar los valores de control de frase en las funciones y también los nombres de variables en GET y sus valores en fin.

en caso de que necesites mas informacion aqui un link con informacion interesante al respecto: Aqui!

3
  • Si por casualidad el OP no maneja una versiòn reciente de PHP, esa declaración de tipos en los métodos va a fallar
    – user128299
    Commented el 13 jun. 2020 a las 23:54
  • Cuanta razón master, desde que version estamos hablando mas menos para aclarar a los futuros lectores?
    – Roderick
    Commented el 14 jun. 2020 a las 0:03
  • 1
    base64 no es encripcion.. cualquiera puede ver lo que pasa... se deberian usar cookies realmente encriptadas si se quiere algo asi... igual, la pregunta a OP seria porque.. si es sensible no deberia llegar al usuaro
    – gbianchi
    Commented el 14 jun. 2020 a las 0:30

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.