0

Estoy tratando de implementar una función ya sea dentro de las mismas funciones creadas para editar y eliminar en el controlador para evitar inyección SQL desde el lado del servidor o intento de Hackeo, con el fin de evitar que algunos campos que están protegidos desde la interfaz los cuales no se pueden editar y eliminar los puedan editar y eliminar con tan solo cambiar el número de ID accediendo desde "inspeccionar" y modificando el HTML. El código que actualmente tengo desde el controlador es el siguiente:

public function delete_vaccines(Request $request, Vet $vet)
{  
    $request->validate([
        'ids' => 'required|array|min:1',
    ]);
    $ids = $request->get('ids');
  
    VaccineType::whereIn('id', $ids)
    ->where('vet_id', Session::get('vet'))
    ->delete();
    return redirect()->back()->with('alerts', [
        ['type' => 'warning', 'text' => vsprintf(__('Registros eliminados %d'), [ count($ids) ]), 'title' => __('Vacunas')]
    ]);
}

/**
 * Formulario de creación o edición de vacunas
 * 
 * @param Request $request
 * @param App\Models\Vet $vet
 * @param App\Models\Vaccine $vaccine
 */
public function vaccine(Request $request, Vet $vet, VaccineType $vaccine=null)
{

    $vaccine = $vaccine ?? new VaccineType(['vet_id' => $vet->id]);
    

    $json_request = $request->wantsJson();
    $title = vsprintf(__('%s de tipos de vacunas'), [ $vaccine->id ? __('Edición') : __('Registro') ]);
    $view = view('admin.config.vaccines.form' . ($json_request ? "" : "_page"), compact('vet', 'vaccine', 'title', 'json_request'));
    return $json_request ? response()->json(['html' => $view->render(), 'title' => $title]) : $view;
}

/**
 * Creación o edición de vacunas
 * 
 * @param Request $request
 * @param App\Models\Vet $vet
 * @param App\Models\Vaccine $vaccine
 */
public function vaccine_save(Request $request, Vet $vet, VaccineType $vaccine=null)
{

    
    $data = $request->validate([
        //'category' => 'required|max:191',
        'name' => 'required|max:191',
    ]);
    
    $vaccine = $vaccine ?? new VaccineType(['vet_id' => $vet->id]);

    $vaccine->fill($data);
    $vaccine->saveOrFail();

    return redirect()->back()->with('alerts', [
        ['text' => __('Vacuna registrada'), 'title' => __('Correcto')]
    ]);
}

Agradezco mucho sus sugerencias y su valiosa ayuda.

3
  • Las consultas SQL en Laravel ya se encuentran protegidas de inyecciones SQL por que hacen uso de PDO para construiir sentencias preparadas, sin contar que desde los modelos puedes proteger contra asignación masiva, entonces ¿puedes explicar mejor tu duda?
    – user128299
    Commented el 29 sept. 2020 a las 20:56
  • Digamos que este tema no es de asignación masiva la cual yo puedo protegerla en el modelo con protected $fillable = ['id', 'vet_id', 'name']; sino de cambio de ID accediendo desde el boton de inspeccionar en la consola de Google para alterar el orden de los ids asignados a cada tabla y cambiar el numero para que me permita editar o eliminar los que desde la interfaz, no me permite editarlos o eliminarlos. Entonces tendria que hacer algo asi como una funcion o condicion en el controlador para que por ese medio tampoco me permita alterar el numero de los ids Commented el 29 sept. 2020 a las 21:55
  • En realidad no veo dicha inyección que mencionas en SQL, tu solo quieres proteger la cardinalidad de tu información, si quieres evitar mostrar el id , por que no intentas cifrar tu id con alguno método de cifrado , para cuando lo inspeccionen del lado del cliente (Google Chrome) no sea tan obvio, posteriormente ya en tu petición lo descifras y realizas tus procesos correspondientes ya sea edición o eliminación
    – frank_ivan
    Commented el 30 sept. 2020 a las 21:12

0

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

Examina otras preguntas con la etiqueta o formula tu propia pregunta.