0

Hola saludos tengo un pequeña duda y espero que me ayuden, estoy terminando una web, pero a la hora de modificar alguna planilla se muestra la ID en la URL

http://localhost/sistema/change-password?id=7

Quisiera que fuera asi

http://localhost/sistema/change-password?hc2U2NCBpbiBQSFAuISE= ( con varios algoritmo ocultando la ID)

Reconmedaron usar base64_decode pero no logro que me de resultado

 <td><a href="change-password?id=<?php echo $row['id']; ?>" data-toggle="tooltip" class="button" title="Editar Contrasena"><i class='fas fa-key'></i></a></td>

$id = $_GET['id'];  

3 respuestas 3

1

El problema de usar base64_encode() es que un atacante podría llegar a averiguar el id aunque le añadas algo más, simplemente decodificando:

<?php
$row['id'] = 43;

if(isset($_GET['id']))
    echo '<div>'
        .base64_decode($_GET['id'])
        .'</div>';

?>

<td>
<a href="?id=<?php echo base64_encode($row['id'].'frasequesolotusepas'); ?>" 
    data-toggle="tooltip" 
    class="button" 
    title="Editar Contrasena"><i class='fas fa-key'></i>Cambiar</a></td>

En cambio, con un hash, ya tendría que averiguar esa frasequesolotusepas, además del método de codificación, para dar con el id que quieres ocultar:

<?php
$row['id'] = 43;

function decode_hash($dato){
    $id=0;
    while(true){
        if(hash('sha224',(++$id).'frasequesolotusepas')==$dato)
            return $id;
    }
}

if(isset($_GET['id']))
    echo '<div>'
        .decode_hash($_GET['id'])
        .'</div>';

?>

<td>
<a href="?id=<?php echo hash('sha224',$row['id'].'frasequesolotusepas'); ?>" 
    data-toggle="tooltip" 
    class="button" 
    title="Editar Contrasena"><i class='fas fa-key'></i>Cambiar</a></td>

En cualquier caso, ese id para modificar la contraseña, deberías llevarlo en una variable de sesión que crearías al autentificar el usuario. Esto tendría más sentido para ocultar el nombre de un fichero que, de otra forma, se quedaría expuesto en el servidor. No el fichero en cuestión que ya has compartido, sino otros de otros usuarios a los que se podría acceder simplemente incrementando un número.

Déjame cualquier duda en los comentarios.

1

Por lo que entiendo quieres que al hacer clic en el href se envíe como código. Por un metodo de GET lo veo complicado con la poca información que brindas, pero lo que podrías hacer es generarlo como un base64

href="?var=<?php echo base64_encode('row')?>"

y en el backend podrías realizar lo siguiente para aplicarlo.

$columnaaeditar = base64_decode($_REQUEST['row']);

O algo por el estilo, espero te pueda ayudar.


Recuerda que cuando realizas un método GET las variables se envía con un "?varible=valor"

Así que tendrías que modificar la variable en lugar de ID enviarlo como un código aleatorio generado por cookie por medio de un session_start()


También si requieres de más información puedes ir aquí; https://www.php.net/manual/es/reserved.variables.get.php


Una aclaración también, si es un cambio de contraseña o cuestiones que tengan que ver con información importante de un usuario, siempre deberían de enviarse como POST y no como GET por seguridad.

Saludos.

1

Como te mencionaron los demás compañeros, sería algo fácil decodificarlo si sólo utilizas base64, así que cuidado. Aunque, para un usuario común sólo son caracteres visibles que ni entienden.

Pero contestando a tu pregunta objetivamente, puedes utilizar urlencode y base64_encode para codificar.

Por ejemplo, si quisieras codificar el id que vale "1" con base64_encode , te daría como resultado MQ== .Pero hay un problema y es que de seguro tendrás dificultades con la ruta porque el signo de "=" es un caracter reservado en el sistema de URL que separa a la variable con su valor (lo mismo pasa con "&", "#"," ", etc.).

Es por eso que nos debemos apoyar en hacer una segunda codificación con urlencode para que ahora el MQ== sea MQ%3D%3D Ya con esto, no debería haber problema en tu URL y quedaría así:

<td><a href="change-password?id=<?php echo urlencode(base64_encode($row['id'])); ?>" data-toggle="tooltip" class="button" title="Editar Contrasena"><i class='fas fa-key'></i></a></td>

Y ya cuando lo llames, nada más lo decodificas, primero con urldecode y después con base64_decode:

//Suponiendo que tu id que vale "1" está codificado como MQ%3D%3D en la URL

$id_decodificado_url = urldecode($_GET['id']); //Lo obtienes, lo decodificas y ahora vale MQ==
$id_decodificado_base64 = base64_decode($id_decodificado_url); //Ahora lo vuelves a decodificar para que valga "1" y ya lo puedes usar.

O simplemente:

$id_decodificado = base64_decode(urldecode($_GET['id'])); //Ahora vale 1

Recuerda que puedes utilizar este método concatenando otras codificaciones, usando la sal, etc. como te mencionó otro compañero para tener capas extras de seguridad.¡Espero que te sirva!

1
  • me ha funcionado el codigo, pero en este caso para que no muestres MQ== sino un algoritmo mas largo Ejemplo: /change-password?FbUW6hmWYAAj32P algo asi?
    – Nove ember
    Commented el 29 ago. 2022 a las 15:25

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.