Question

Buenos Días, acabo de terminar el trabajo con los comentarios en el sitio web que estoy desarrollando utilizo codeigniter como framework de php y he programado el sitio de tal manera que cuando un usuario entra al sitio este genera una session con los campos nivel, token, entonces cuando abre una noticia paso para un input oculto el valor del token y cuando este da clic en enviar comentario dentro del form tengo el input oculto el cual valido que su valor sea igual al del token que tengo en la session y en caso de ser igual pproceso a insertar el comentario.
Cuando entro con un usuario de nivel más alto muestro un button de eliminar comentario.
Los comentarios en la página web los mando a cargar por ajax.
Estos procedimientos son seguros o me aconsejan algunos cambios.

Comments

Quisiera responder pero antes quiero entender un poco más ¿Cuál es el motivo del token enviado oculto en el formulario?

---

lo uso como validación anti-spam ya que lo compruevo con el que tengo en la session y cada vez que entra en la página genero uno nuevo random para que nunca sea igual

Answer 1

Como no aclaras si ya lo haces, lo digo por si acaso: debes validar en el controlador que recibe el borrado de comentarios que efectivamente el usuario tiene permisos para borrar. No puede confiar el nivel de permisos sólo a si un usuario ve un botón en el front, después tienes que hacer una segunda comprobación.

Por otro lado, un par de ideas:

• Si tienes miedo de recibir spam, puedes implementar un sistema de moderación de comentarios, con usuarios "validados" para que publiquen sin moderación y otros usuarios que envíen los comentarios a una cola.

• Durante los borrados, no borrar los registros directamente de la base de datos si no marcarlos como ocultos, cambiarlos de tabla... Así ante problemas de seguridad o programación limitas el alcance del problema.

Answer 2

bueno php es muy seguro,ahora eso de ocultar input no es tan aconsejable,alguien con conocimientos podria abrirse paso en esa brecha,a veces es mejor demorarse haciendo paginas distintas pero con funciones parecidas.