1

Buenos dias, estoy realizando una web que pide hacer login, y tras esto, se redirecciona a otra pagina si el usuario existe. Esto se realiza a traves de consultas Javascript a una API, donde se buscan el usuario y la contraseña y si es correcto, nos lleva a otra pagina con el contenido. Esto lo hace correctamente, pero el problema esta en que yo puedo acceder a dicha pagina privada escribiendolo directamente en la url, es decir, yo puedo acceder al contenido escribiendo http://localhost/prueba/panelPrivado.html (siendo panelPrivado.html algo que solo debiera ser accesible por un usuario previo login ).

function login(){

usuario = $('#textDNI').val();
clave = $('#passWeb').val();

if($('#textDNI').val() == ''){
    alert('Debe ingresar su DNI');
    return false;
}

if($('#passWeb').val() == ''){
    alert('Debe ingresar su contraseña');
    return false;
}else{

    var urlEnvio = 'ruta de la API'

var elementos = [];
axios.get(urlEnvio, {
 params: {
   user: usuario,
   pass: clave
 }
})
.then(response => {
   elementos = response.data;
    console.log(response.data); 
    console.log(response.status)
  if (elementos.count == 0) {
        alert('No existe el usuario en el sistema');
      }else{
        window.location.href = 'panelUsuario.html';
      } 
    });
   }

}

Agradeceria cualquier ayuda sobre esto. Muchas gracias por adelantado.

5
  • Facil, si llega alguien a la página privada, compruebas si esta logueado y si no lo esta rediriges a la pagina de login.
    – Lithorell
    el 20 jun. 2017 a las 10:37
  • 1
    Con el ejemplo que pones, html + javascript. Tendrías que guardar información en cookies,localStorage o alguna capa de persistencia de datos y luego hacer el redirect. Una vez estas en la otra pagina tendrías que consultar en esa capa de persistencia si el usuario esta logeado. Todo esto no es nada seguro, ya que esta todo guardado en el navegador y es fácilmente manipulable.
    – Christian
    el 20 jun. 2017 a las 10:45
  • Prueba a usar un lenguaje del lado del servidor que te permita persistencia de datos como PHP o JSP. Debido que Javascript es un lenguaje ejecutado en el cliente y la mayoría de los navegadores tienen herramientas para modificar el código, lo cual generaría accesos no autorizados a tu aplicación web. el 20 jun. 2017 a las 13:03
  • 3
    Esto debe hacerse en el backend en lugar del cliente. Toda validación en el lado cliente puede ser bypasseada con relativa facilidad; por ejemplo, si se desactiva JavaScript, adiós a tus validaciones. Se supone cuando un usuario se loguea se inicializa una sesión para él en donde se guarda cierta información del mismo, como su nombre, email, nombre de usuario, etc., sea en memoria o en un almacenamiento externo como redis. En tus controladores/mapeadores para cada URL se debe comprobar esta información para proceder o no.
    – gugadev
    el 20 jun. 2017 a las 13:08
  • Para solucionar el problema, debes recuperar un token de logueo y almacenarlo en cache. para luego compararlo en cada pagina que visites del sitio
    – ctm002
    el 20 jun. 2017 a las 13:16

2 respuestas 2

1

Si la página privada es un HTML estático se debería configurar esa seguridad que comentas en el servidor web y si son dinámicas, php, aspx, python, etc se debería configurar la seguridad en ellas, validando que la petición tenga alguna cookie/token o algo similar para probar que se ha hecho un login correcto.

Como regla general, los controles de seguridad que hagas en javascript, al ser este un lenguaje que se ejecuta en el navegador del cliente no son fiables al 100% porque siempre podrían ser alterados por el usuario.

0

Por lo que veo en tu código y en tu explicación, "panelPrivado.html" es una página web genérica para todos los usuarios. Si ese no es el caso, seria interesante saber como sabes que usuario se ha logueado. Adicional a esto, como has visto en los comentarios, es totalmente inseguro manejar esta información del lado del cliente.

Pero ya que has formulado la pregunta, y para, literalmente, contestar tu pregunta, una posible solución es ejecutar el mismo proceso de verificación antes de que la página "panelPrivado.html" se cargue.

Primero, tendrías que crear una forma de guardar la información ya obtenida, hay muchas opciones, pero una opción podría ser con document.cookie para crear una cookie y poder acceder a la informacion despues.

Despues, en la página "panelPrivado.html" una funcion de javascript deberia acceder a estas cookies, realizar el mismo proceso de verificación llamando a la funcion login y entonces redirigir si es que es invalida la verificación.

De nuevo, esta es una posible respuesta a tu pregunta y no recomendamos hacer estas verificaciones del lado del cliente.

Tu Respuesta

Al pulsar en “Publica tu respuesta”, muestras tu consentimiento a nuestros términos de servicio, política de privacidad y política de cookies

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.