Seguridad

Hola a todos,

Estoy con una pagina que al entrar pide usuario y contraseña, hasta aqui
todo bien, pero una vez dentro, por ejemplo:

http://localhost/pepito/vindras/vin...p?id"

aqui veriamos la informacion de un usuario el id", i puede cambiar una
serie de opciones, pero si esta persona cambia manualmente la variable id> 22 por id# puede entrar a la ficha de otra persona, como puedo evitar
esto ?

Gracias de antemano y saludos,

Pues manteniendo en session por ejemplo el id "real" de la persona, es
decir

1 form que pide user /pass
2 envias a un asp que comprueba ese par y obtiene el id
y guardas el id en session
3 todo el resto de paginas comprueban ese session en lugar del
parametro pasado


"Jordi" escribió en el mensaje
news:

Hola a todos,

Estoy con una pagina que al entrar pide usuario y contraseña, hasta
aqui todo bien, pero una vez dentro, por ejemplo:

http://localhost/pepito/vindras/vin...p?id"

aqui veriamos la informacion de un usuario el id", i puede cambiar
una serie de opciones, pero si esta persona cambia manualmente la
variable id= 22 por id# puede entrar a la ficha de otra persona,
como puedo evitar esto ?

Gracias de antemano y saludos,

OK perfecto, asi no se ve el id por ningun sitio,

guardo al inicio el id en session("id")

por cierto, no estaria de mas poner

<% if not session("id") = rs("id") then
response.redirect("index.asp")
%>

seria aun mas seguro, no ?

como lo veis?



"Dani Castillo" wrote in
news:u$#:

Pues manteniendo en session por ejemplo el id "real" de la persona, es
decir

1 form que pide user /pass
2 envias a un asp que comprueba ese par y obtiene el id
y guardas el id en session
3 todo el resto de paginas comprueban ese session en lugar del
parametro pasado


"Jordi" escribió en el mensaje
news:

Hola a todos,

Estoy con una pagina que al entrar pide usuario y contraseña, hasta
aqui todo bien, pero una vez dentro, por ejemplo:

http://localhost/pepito/vindras/vin...p?id"

aqui veriamos la informacion de un usuario el id", i puede cambiar
una serie de opciones, pero si esta persona cambia manualmente la
variable id= 22 por id# puede entrar a la ficha de otra persona,
como puedo evitar esto ?

Gracias de antemano y saludos,

depende de como filtres para sacar ese rs :-) si en tu pagina haces

como
sql="select * from tabla where id=" & session("id")
ya estas obteniendo solo los datos del usuario


"Jordi" escribió en el mensaje
news:

OK perfecto, asi no se ve el id por ningun sitio,

guardo al inicio el id en session("id")

por cierto, no estaria de mas poner

<% if not session("id") = rs("id") then
response.redirect("index.asp")
%>

seria aun mas seguro, no ?

como lo veis?



"Dani Castillo" wrote in
news:u$#:

Pues manteniendo en session por ejemplo el id "real" de la persona,

decir

1 form que pide user /pass
2 envias a un asp que comprueba ese par y obtiene el id
y guardas el id en session
3 todo el resto de paginas comprueban ese session en lugar del
parametro pasado


"Jordi" escribió en el mensaje
news:

Hola a todos,

Estoy con una pagina que al entrar pide usuario y contraseña, hasta
aqui todo bien, pero una vez dentro, por ejemplo:

http://localhost/pepito/vindras/vin...p?id"

aqui veriamos la informacion de un usuario el id", i puede cambiar
una serie de opciones, pero si esta persona cambia manualmente la
variable id= 22 por id# puede entrar a la ficha de otra persona,
como puedo evitar esto ?

Gracias de antemano y saludos,

si asi lo hago la sentencia ... con eso crees que es suficiente
seguridad?

concretamente he puesto

sql="select * from invitats where id = '"& session("id") &"'"

gracias por tus sabios consejos

Jordi Cordon




"Dani Castillo" wrote in
news::

depende de como filtres para sacar ese rs :-) si en tu pagina haces

algo

como
sql="select * from tabla where id=" & session("id")
ya estas obteniendo solo los datos del usuario


"Jordi" escribió en el mensaje
news:

OK perfecto, asi no se ve el id por ningun sitio,

guardo al inicio el id en session("id")

por cierto, no estaria de mas poner

<% if not session("id") = rs("id") then
response.redirect("index.asp")
%>

seria aun mas seguro, no ?

como lo veis?



"Dani Castillo" wrote in
news:u$#:

Pues manteniendo en session por ejemplo el id "real" de la persona,

es

decir

1 form que pide user /pass
2 envias a un asp que comprueba ese par y obtiene el id
y guardas el id en session
3 todo el resto de paginas comprueban ese session en lugar del
parametro pasado


"Jordi" escribió en el mensaje
news:

Hola a todos,

Estoy con una pagina que al entrar pide usuario y contraseña, hasta
aqui todo bien, pero una vez dentro, por ejemplo:

http://localhost/pepito/vindras/vin...p?id"

aqui veriamos la informacion de un usuario el id", i puede cambiar
una serie de opciones, pero si esta persona cambia manualmente la
variable id= 22 por id# puede entrar a la ficha de otra persona,
como puedo evitar esto ?

Gracias de antemano y saludos,