1

¿Es recomendable usar cookies para la comunicación entre php y javascript?, o sería mejor opción por GET?

considerando el paso de variables y datos capturados de ambos lenguajes.

1
  • ¿En qué sentido será esa comunicación: PHP->JS, JS->PHP o PHP<->JS?¿Y cómo será el tipo de interacción: síncrona o asíncrona? Dependiendo de lo que quieras, podría hacerse con cookies, a través del GET, o del POST (p.e. con formularios), o usando AJAX (con GET o POST)...
    – Alvaro Montoro
    Commented el 11 ene. 2017 a las 5:19

3 respuestas 3

4

Nunca deberías de utilizar cookies por motivos de seguridad para este tipo de cosas, sobre todo si quieres tratar datos sensibles, por diversas razones y problemas que plantean el uso de cookies:

  • Están asociadas con un navegador web, luego, si el usuario cambia de navegador, el usuario perderá dicha información, en el caos de que tu quieras guardar esa información entre diferentes sesiones.
  • Si el usuario no hace logout, un atacante puede usar el mismo navegador para impersonar al usuario y suplantarle. Especialmente en equipos compartidos y debido a que guardar. Debido a esta razón los IDs de sesión que se guardan en ellas tienen un tiempo de caducidad.
  • Las cookies almacenan información en el PC del cliente, lo que implica que puede ser modificada con fines maliciosos. Esto implica que deba ser validada en el servidor siempre.

Después, a la hora de su creación, en el caso de usarlas, debes de tener en cuenta que se pueden crear de diferentes formas:

  • Pueden ser persistentes o no. Lo primero implica que se queden guardadas en el disco del cliente hasta una determinada fecha. En el segundo caso el navegador las guarda en memoria y las destruye cuando se cierra.
  • Seguras o no: si es segura indica que solo puede ser enviada mediante HTTPS, no que este encriptada.

Después, puedes utilizar GET o POST en caso de formularios y peticiones. GET implica que los parámetros vayan en la url, por ejemplo: http://www.miweb.com/hola.php?parametro1=valor&nombre=cris

En cambio, si usas POST, los parámetros se envían en el cuerpo del mensaje y haces que este sea mas seguro. No obstante, estos parámetros se pueden modificar en el caos de que se pare el mensaje con un proxy. Pero en cambio ofrece mayor seguridad en el caso de que el usuario copia y pegue la URL y los parámetros no están a simple vista de cualquiera, en el caso de que sean importantes y sensibles. También, en el caso tanto de GET como de POST, ten en cuenta que siempre debes de validar todo en el servidor, por motivos de seguridad.

Mi recomendación: que utilices AJAX para comunicar JavaScript y PHP, de esta manera todo será transparente al usuario y el no se percatará de que estas recogiendo o enviando peticiones. Esto implica que utilices GET o POST, dependiendo de lo que deseas hacer, pero siempre validando TODO en el servidor.

1

Las cookies tienen una fecha de caducidad y los datos sobreviven a diferentes conexiones, lo que puede resultar en un dolor de cabeza si no administras bien estas fechas.

Por ejemplo, código JavaScript con errores (en periodo de desarrollo por ejemplo) que no refrescan correctamente los valores guardados en cookies, pero que aún así, están presentes y el servidor los ve, actuando en consecuencia.

Otra solución es administrar bien las fechas de caducidad de las cookies, pero es un procedimiento manual innecesario, ya que los valores los puedes enviar por GET, que es mucho más sencillo.

Si lo que quieres es "ocultar" un poco más la información que envías (o al menos, no mostrarla de manera tan evidente en la propia URL), haz los envíos por POST de igual manera, pero especificando el Content-Type a application/x-www-form-urlencoded en case de que no se asigne automáticamente, para que puedas enviar los parámetros POST con igual sintáxis que haciéndolo en GET, y para que el servidor que recibe la petición también lo sepa (si no indicas el Content-Type el servidor no tendría por qué saber cómo interpretar lo que envíes por POST).

1

El propósito de las cookies es guardar información útil en el cliente, como datos de sesión, items de carritos de compras, etc. Si piensas usar cookies para algo más que eso, o para guardar información privada, deberías dejar de hacerlo por seguridad.

El paso de datos entre front y backend se debe hacer por peticiones HTTP y, si es información privada vía SSL para que no pueda ser interceptada con facilidad por cualquier tracert. Guardar información intensivamente en cookies, además, no tiene sentido porque solo pueden almacenar una pequeña cantidad (4k) y el manejo de ellas no es muy amigable (a no ser que uses un librería para ello).

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.