0

Tal como dice en el titulo, estoy haciendo una página e-commerce con php y una base de datos mysql, el problema es que estoy usando unos input con type hidden donde contienen los datos como el precio, id, nombre ,etc, si bien estos estan encriptados con "AES-128-ECB", si alguien desde inspeccionar elemento cambia los valores del precio , por los de otro producto de menor valor (es decir copia el valor encriptado de un producto de $100 y lo pega en el de otro producto de $300) al momento en que toque agregar al carrito, este se va a agregar con el precio de $100.

Lo que necesito es saber si hay alguna manera para evitar esto, ya probe agregando un if en el cuál comparo el valor original con el $_POST en donde podrian modificar con inspecionar elemento, y simplemente no coincidian y tiraba error.

Este es mi codigo de productos:

<?php
    include 'ff.php';
?>
<div class="productos">
                    <?php
                        $select_products = $connect->prepare("SELECT * FROM `productos` WHERE categoria='pr'") or die('query failed');
                        $select_products->execute();
                            $list_products = $select_products->fetchAll(PDO::FETCH_ASSOC);
                    ?>    

                    <?php foreach($list_products as $producto){ ?>
                        <?php include 'productact.php';?>
                    <?php } ?>                     
                    </div>

productact.php:

<?php 
$id = $producto['id'];
$codigo = $producto['codigo'];
$imagen = "media/productos/$codigo.png";
$nombre = $producto['nombre'];                   
$precio = $producto['precio']; 
$bulto = $producto['bulto']                
?>
<div class="p" id="<?php echo $id?>">
    <img src="<?php echo $imagen; ?>" alt="<?php echo $nombre?>" title="<?php echo $nombre?>">
    <p ><?php echo $nombre; ?></p>
    <form action="#<?php echo $id?>" method="post">
        <?php if(isset($_SESSION['email'])){?>
            <p>(x <?php echo $bulto; ?>)</p>
            <p class="precioo pps">$<?php echo number_format($producto['precio'], 0, ',', '.') ?></p>                                    
            <input type="hidden" name="id" value="<?php echo openssl_encrypt($id,COD,KEY);?>">
            <input class="cantidad pps" type="number" min="1" name="cantidad" class="cantidad" placeholder="1">   
            <input type="hidden" name="nombre" value="<?php echo openssl_encrypt($nombre,COD,KEY);?>">
            <input type="hidden" name="precio"  value="<?php echo openssl_encrypt($precio,COD,KEY);?>">
            <input type="hidden" name="codigo" value="<?php echo openssl_encrypt($codigo,COD,KEY);?>">
            <div class="cc"><button type="submit" name="btnCart" value="Add" class="c pps">Agregar Al carrito</button></div>
            
            <?php
            } 
            ?>

    </form>
</div>
    
        </form>
    </div>

ff.php:

<?php
if(isset($_POST['btnCart'])){

    switch($_POST['btnCart']){
        
        case 'Add':

                if(is_numeric(openssl_decrypt( $_POST['id'], COD, KEY))){
                    $ID = openssl_decrypt( $_POST['id'], COD, KEY);                        
                }else{
                    echo '<script>
                    alert("ID incorrecto");
                    </script>';
                    exit;
                }

                if(is_string(openssl_decrypt( $_POST['nombre'], COD, KEY))){
                    $NOMBRE = openssl_decrypt( $_POST['nombre'], COD, KEY);
                }else{
                    echo '<script>
                    alert("Nombre incorrecto");
                    </script>';
                    exit;

                }
                
                if(is_numeric(openssl_decrypt( $_POST['precio'], COD, KEY))){
                    $PRECIO = openssl_decrypt( $_POST['precio'], COD, KEY);
                }else{
                    echo '<script>
                    alert("Precio incorrecto");
                    </script>';
                    exit;
                }

                    if($_POST['cantidad']<1){
                        $CANTIDAD = 1;
                    }else{                          
                        $CANTIDAD = $_POST['cantidad'];
                    }

                if(is_numeric(openssl_decrypt( $_POST['codigo'], COD, KEY))){
                    $CODIGO = openssl_decrypt( $_POST['codigo'], COD, KEY);
                }else{
                    echo '<script>
                    alert("Codigo incorrecto");
                    </script>';
                    exit;
                }
            
                if(!isset($_SESSION['cart'])){
                    
                    $producto=array(
                        'ID'=>$ID,
                        'NOMBRE'=>$NOMBRE,
                        'CANTIDAD'=>$CANTIDAD,                                                       
                        'PRECIO'=>$PRECIO,
                        'CODIGO'=>$CODIGO,
                    );
                    $_SESSION['cart'][0] = $producto;
                    $mensajeCo = "Producto Añadido Exitosamente";
                }else{
                    
                    $idProductos=array_column($_SESSION['cart'],"ID");

                    if(in_array($ID, $idProductos)){
                        $mensajeInc = "El Producto Ya Ha Sido Agregado";                          
                    }else{
                        $producto=array(
                            'ID'=>$ID,
                            'NOMBRE'=>$NOMBRE,
                            'CANTIDAD'=>$CANTIDAD,            
                            'PRECIO'=>$PRECIO,
                            'CODIGO'=>$CODIGO,
                        );
                        array_push($_SESSION['cart'], $producto);                            
                        $mensajeCo = "Producto Añadido Exitosamente";
                    }
                }

            

            


                
    }

}

?>
3
  • 2
    Debes evitar hacer eso y sencillamente usar ids para identificar los productos pasados al carrito y desde el servidor sacar toda esa información y hacer los cálculos finales con ella, de tal forma que hagan lo que hagan, en el resultante del carrito o de la orden de compra o del pedido, tu consultes a tus tablas los precios correctos y nunca los pases por formulario, pues siempre tendras la duda que tienes ahora.
    – masterguru
    Commented el 28 jun. 2022 a las 0:33
  • osea debería dejar solamente el input en el cual te da el ID y a partir de ahí hacer un where $ID? Commented el 28 jun. 2022 a las 1:10
  • Efectivamente, no hay necesidad de pasar todos los valores de todos los campos en el formulario de forma escondida y criptada si ya los tienes en la base de datos correlacionados mediante el ID del producto y los puedes sacar de alli para hacer los cálculos o mostrarlos después como desees. Asñi ya evitas la manipulación que pretendes evitar. Si yo voy a tu página y veo que puedo manipular los precios porque usas campos escondidos con ellos es probable que te de un susto haciendo un pedido retocandolos a mi conveniencia y luego poniendote en un compromiso a ti o a tu cliente que vende cosas.
    – masterguru
    Commented el 28 jun. 2022 a las 1:12

2 respuestas 2

0

deberias manejar todo por id, vos agregas al carrito un id y vendes un id, el precio lo sacas de la base al momento de cobrarle, mas alla de lo que le muestres al cliente

0

Existen métodos como actualizar la página si es abierto el inspector pero son poco recomendables ya que de una u otra manera podrán ver esos datos. En esos casos realiza validaciones comparándola con la base de datos antes de realizar la compra/venta o simplemente guarda los valores en cookies y/o variables de session así no le muestras nada al cliente y tienes todos los datos.

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.