Question

buenas tengo un problema en algo que estoy desarrollando consiste en un juego online con sistemas de compra de carros como vestimentas en la web un simple usuario usando el inspeccionar elemento puede editar los valores de los inputs y lo más raro de todo es que lo puede hacer perfectamente y SÍ (lo he probado muchas veces) surgen los cambios, tras editar el precio a 0 lo puede comprar exitosamente a 0, si le pone un valor -99999 (negativo) lo que hace además de adquirirlo gratis le da, otorga o suma al jugador $99999 de la moneda

gracias

Answer 1

No, no hay ninguna forma.

Pero es que en cualquier web tienes que tener dos tipos de validaciones:

• Validación cliente: Es decir, en la parte del html, mediante javascript, validas que lo que meten en un input es correcto. Pero esta validación se hace para evitar hacer peticiones innecesarias al servidor. Por ejemplo, para qué voy a hacer una petición al servidor con un email mal formado, si sé que no me va a servir. No es una validación de seguridad, porque no solo es que te puedan modificar el html con el inspector, es que te pueden hacer la petición al servidor sin usar siquiera el navegador

• Validación en servidor: En el servidor se realizan, sobre las entradas del usuario (parámetros de las peticiones), las validaciones de seguridad, si las quieres llamar así. Aquellas que, si no existen, pueden estropear tu sistema o tener efectos indeseados, como que le regales cosas a alguien sin pagar.

De todas formas, ¿por qué dejas que el usuario diga (aunque esté en un input hidden, toda entrada/parámetro a un método de servidor es "público") cuál es el precio del producto? El precio solo lo tienes que mostrar, no es modificable, por tanto el usuario solo te tiene que decir qué producto quiere (su id, por ejemplo), y tú en el servidor vas a la tabla de productos y miras qué valor tiene ese producto, y se lo cargas en su cuenta.

Answer 2

No se puede.

Aún si pudieras sacar del inspector los valores, simpre se podría guardar la página localmente, modificarla, guardarla y luego hacer click para enviarla con datos falsos.

Jamás hay que confiar en las entradas!

Tu problema es nada más que de enfoque y la solución muy simple: en vez de usar los valores recibidos por $_GET o $_POST, lo que tenés que hacer es recibir el ID del auto o de la ropa, hacer una query y obtener de nuevo los valores del producto, ya que son esos los únicos valores que son confiables.

Las DB son de veras muy rápidas, y esto que parece ser acceder 2 veces al mismo dato (cosa que no es cierta porque cada ejecución de un script es independiente de las otras) es muchísimo más rápido que los demás procesos, e incluso pued emejorar la velocidad en general ya que así se transmiten menos datos al servidor.

Pasando a un ejemplo, en una página estás mostrando el producto con ID 123, del cual se ve el nombre, el precio, el código, etc, y el botón de comprar que es un formulario que apunta a otra página; en esta otra página, recibís el ID 123 y con él hacés la misma query anterior para obtener todos sus datos y sarlos. De esta forma el precio será siempre el de la DB y no el que haya visto el usuario.

Salduos cordiales!