0

necesito un poco de ayuda, estoy trabajando en un login el cual consumo de un web services, estoy buscando información o un ejemplo para evitar el acceso a los otros form sin antes haberse logueado, ya que si se pone la URL de los otros form ingresa y muestra la información.

       var usuario = localStorage.getItem("usuario");
       const url = 'http://localhost/api/AppWeb/Login_User';
       var getData = function() {
       var usuario = document.getElementById("usuario").value;
       var pass = document.getElementById("pass").value;
       axios({
       method: 'POST',
       url: url,
       data: {
            usuario: usuario,
            pass: pass
        }
       }).then(res => {

        if (res.status == 200) {
            if (res.data.rol == 2) {
                console.log(res.data.rol)
                console.log(usuario);
                localStorage.setItem("usuario", usuario);
                location.href = "sistema/inicioUsu.php";
            } else {
                localStorage.setItem("usuario", usuario);
                location.href = "sistema/inicio.php";
            }

        } else
        if (res.status == 404) {
            alert("cointraseña incorrecta");
        }
        console.log(res.status);
        })
         .catch(err =>
        alert("No quedó")
        )
        }
9
  • 1
    Tienes que autentificar al usuario desde el servidor, cualquier persona que acceda /Login_User puede ver el código de html y entrar manualmente desde su explorador a la ruta sistema/inicioUsu.php o sistema/inicio.php
    – FranAcuna
    Commented el 13 oct. 2020 a las 16:50
  • Todo lo que ocupo con js lo tengo bloqueado, nadie puede entrar a esas carpetas. Commented el 13 oct. 2020 a las 17:11
  • Entonces no te pude entender. ¿A qué te refieres con ya que si se pone la URL de los otros form ingresa y muestra la información?
    – FranAcuna
    Commented el 13 oct. 2020 a las 17:37
  • Mira esta URL localhost/Res/LaudemAVE/index.html es para el login y una vez que inicies sesión te debe mandar a localhost/Res/LaudemAVE/sistema/inicio.php, pero, si se pone esa URL, en el navegador si me redirige sin antes haber iniciado sesión. Commented el 13 oct. 2020 a las 19:00
  • Exacto, a eso me refería en el primer comentario, con solo ver tu código supuse que puedo hacer eso con tu sitio. Toda persona que acceda a la página puede ver el código HTML y ver que tu manera de impedir acceso a X ruta consiste en tratar de esconder la ruta de acceso. Pero eso es imposible porque está en tú código. El que debe de decidir si brinda o no la página al usuario para la ruta localhost/Res/LaudemAVE/sistema/inicio.php es el servidor.
    – FranAcuna
    Commented el 13 oct. 2020 a las 19:27

1 respuesta 1

1

En realidad no es relevante si el código HTML, CSS y JS está disponible públicamente.

Lo que se debe restringir, en la mayoría de los casos, es el acceso a la base de datos, o archivos del servidor.

Esto se logra normalmente con algún tipo de función criptográfica. Por ejemplo, si hay un recurso en tu servidor que sólo se puede cambiar por determinadas personas, lo ideal es que estas personas presenten algún tipo de credenciales (Usuario/contraseña, huella digital, código de verificación etc.)

De este modo no importa si un atacante gana acceso a los archivos públicos (HTML, CSS, JS), porque los recursos privados están protegidos.

Habiendo dicho esto, es pertinente hacer validaciones para que en la interfaz del usuario sólo se muestren los recursos a los que tiene acceso el usuario que está interactuando con la interfaz.

Ejemplo: Si hay un botón que permita borrar usuarios, sólo mostrarlo a los administradores que ya hayan iniciado sesión.

1
  • Mira esta URL localhost/Res/LaudemAVE/index.html es para el login y una vez que inicies sesión te debe mandar a localhost/Res/LaudemAVE/sistema/inicio.php, pero, si se pone esa URL, en el navegador si me redirige sin antes haber iniciado sesión. Commented el 13 oct. 2020 a las 19:01

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.