Eu estou tentando impedir que qualquer usuário veja o conteúdo do arquivo, "x.txt", localizado no meu servidor.
Até agora, fiz o seguinte:
Usuários bloqueados acessam diretamente o arquivo usando .htaccess
Uma das minhas páginas usa um pedido de ajax para obter o conteúdo do arquivo e armazená-lo em uma variável.
A entrada do usuário é comparada ao conteúdo do arquivo por meio de uma instrução if (x == y).
É possível que os usuários do meu site acessem esses dados confidenciais?
Respostas:
1 para resposta № 1Se uma chamada ajax puder obter os dados, então qualquer trapaceiroou script customizado também pode obter os dados através da mesma chamada ajax e é necessário apenas uma olhada elementar na sua página da web para ver qual é a chamada do ajax que obtém os dados. Ou qualquer pessoa que abrir as ferramentas do desenvolvedor do Chrome e examinar a guia "Rede" poderá ver o conteúdo de todas as chamadas do Ajax feitas pelo navegador.
Além disso, quem sabe como usar umo depurador de navegador pode assistir qualquer coisa que seu código faça (como armazenar conteúdo de ajax em uma variável) assim até mesmo criptografia em cima do fio não impede que alguém veja seus dados quem está no navegador de recepção.
Se você quiser que os dados do seu servidor sejam seguros, você precisará de um design diferente.
A maneira segura de testar a entrada do usuário vs. algum segredo no servidor é enviar os dados do cliente para o servidor e fazer com que o servidor compare os dados do cliente com o servidor principal e, portanto, nunca envie os dados do servidor para o cliente.
Pense nisso como uma senha. Você "nunca envia a senha mestra para o cliente e faz com que o cliente compare o que o usuário digitou. Em vez disso, você envia o que o cliente digitou para o servidor e faz com que o servidor faça a comparação com segurança. Essa mesma abordagem protegerá seus dados.