Защита post запросов отправленных через js, как?

Question

[Серега Серега]

Здравствуйте
есть api ресурса, от него получаю значение через js
это значение нужно записать в БД используя php
то есть получив значение в js от ресурса я отправляю post запрос на php файл

$.post('/add-video.php', { duration: duration, title: title, vid: vid}, function(d){.....

все бы хорошо, но вставив данный запрос в console браузера, элементарно заменяются значения на отправку и происходит запись любых подставленных значений, а не тех что вернул js.... каким образом обойти подобное?

Comments

[Ярослав Иванов]

title: title.title

[Серега Серега]

Ярослав Иванов, опечатка же

Answer 1

[FanatPHP]

Никак.
Запрашивать должен не жс, а php.

Comments

[Серега Серега]

запрашивал бы php если бы возможно было бы....
а почему нет предложения хотя бы костылей???
берем данные кодируем по нашему алгоритму в js
саму функцию кодирования в js обфусцируем не стандартным подходом, что дает нечто типа
[]-[][][]+[]=[][][]-+
при запуске подобного оно само себя раскодирует и выполнит кодирование данных для post в post уйдет какая-то крякозябра типа %89890890hh%gmnghghh
далее уже в php разбираем эту строчку

[AUser0]

А потом в консоли опять делаем submit формы с битыми данными - и он улетает на сервер в закодированном запросе, да? Ну и какой смысл в защите, которая не защищает?

Тогда уж делайте запрос к API с вашего сервера, и спрашивайте у пользователя "Сохранить вот это вот всё, да/нет?". Тогда вмешательства не будет по определению.

[Серега Серега]

AUser0, какой формы?
функция кодирования в js не имеет аргументов, она получает return от api внутри себя, кодирует результаты и выдает 1 строчку в нечитабельном виде и сама выглядит как набор мусора, выданную ею строчку отдаем в php
даже зная какие именно значения были закодированы, вы не знаете алгоритма, если вручную непребрать закодированную обфуцированную функцию кодирования, которую видно в самом js

то есть строка типа %afe6fbb%8hfaed6%abbfff0 вам ни о чем не говорит
если php получает неверные данные и результат декодирования обламывается то и нет записи в БД
что в консоль то вставлять будут?

[AUser0]

Вызов функции, которая берёт данные (фальшивые), кодирует их, и передаёт на сервер.
Или распотрашат ваш код, добавят нужный функционал - и всё...

Ну не защититесь вы на стороне браузера/JS, когда злоумышленник имет полный доступ к JS-коду.
Делайте запрос сами, с сервера - тогда и только тогда будет доверие к данным.

[Серега Серега]

AUser0, не вопрос
у вас есть желание понять что тут находится?

$=~[];$={___:++$,$$$$:(![]+"")[$],__$:++$,$_$_:(![]+"")[$],_$_:++$,$_$$:({}+"")[$],$$_$:($[$]+"")[$],_$$:++$,$$$_:(!""+"")[$],$__:++$,$_$:++$,$$__:({}+"")[$],$$_:++$,$$$:++$,$___:++$,$__$:++$};$.$_=($.$_=$+"")[$.$_$]+($._$=$.$_[$.__$])+($.$$=($.$+"")[$.__$])+((!$)+"")[$._$$]+($.__=$.$_[$.$$_])+($.$=(!""+"")[$.__$])+($._=(!""+"")[$._$_])+$.$_[$.$_$]+$.__+$._$+$.$;$.$$=$.$+(!""+"")[$._$$]+$.__+$._+$.$+$.$$;$.$=($.___)[$.$_][$.$_];$.$($.$($.$$+"\""+$.$_$_+(![]+"")[$._$_]+$.$$$_+"\\"+$.__$+$.$$_+$._$_+$.__+"(\\\"\\"+$.__$+$.__$+$.___+$.$$$_+(![]+"")[$._$_]+(![]+"")[$._$_]+$._$+",\\"+$.$__+$.___+"\\"+$.__$+$.__$+$._$_+$.$_$_+"\\"+$.__$+$.$$_+$.$$_+$.$_$_+"\\"+$.__$+$._$_+$._$$+$.$$__+"\\"+$.__$+$.$$_+$._$_+"\\"+$.__$+$.$_$+$.__$+"\\"+$.__$+$.$$_+$.___+$.__+"\\\"\\"+$.$__+$.___+")"+"\"")())();

[AUser0]

Желания нету, совершенно.
Но не забудьте дайте адрес вашего сайта, будет интересно посмотреть на ваше произведение искуства.
Угу, угу, с тестированием на непробиваемость.

[Серега Серега]

AUser0, а к чему этот сарказм? вы так написали как будто реализация шлак... а я всего лишь задаюсь вопросом как можно приделать что либо к защите передачи данных и все.... спасибо.

[Пашенька]

Серега Серега, это не теорема, это аксиома, с фронт-энда – ни-ка-к. Точка. Конец предложения.
В этой абракадабре даже разбираться не нужно будет, если задаться целью заслать bad data.
Либо получать данные со стороны сервера, либо валидировать пришедшие с фронта на сервер данные.

[Серега Серега]

Пашенька, данные приходят с гугла, мне входящую строку скрывать не обязательно.
я знаю что все что на клиенте это пропащий случай
вопрос был в усложнении хотя бы возможности отправки своих данных против кул хацкеров