Testando a segurança de seu site – Parte 3/3

Manipulação de Dados

Alguns programadores assumem que os usuários acessarão um site somente da maneira pretendida pelo desenvolvedor. Mas e se o usuário tentar manipular e modificar as variáveis? O que acontecerá? Isso é algo que você deverá testar em seu site.

Este assunto pode ser mais bem compreendido através de exemplos. Digamos que você tenha uma loja virtual onde o usuário pode ver seu pedido através de um link como http://www.seusite.com.br/pedido.php?id=12345. O que acontecerá se o usuário tentar substituir na URL o seu número do pedido por um número diferente? Ele será capaz de ver pedidos de outros clientes? Em um script bem projetado, o usuário será somente capaz de ver seus próprios pedidos, recebendo uma mensagem de erro caso tente manipular manualmente a variável.

Outro exemplo: digamos que você tem um site com um link como http://www.seusite.com.br/artigo.php?id=12345, que carrega o artigo número 12345 do seu banco de dados. O que acontece se o usuário tentar mudar essa variável para um número de artigo que não existe? Em um script bem desenvolvido, ele mostrará uma mensagem de erro, enquanto que em um script mal projetado, a página será carregada sem texto, o que não é desejável.

E o que acontece se o usuário tentar manipular uma variável de maneira mais drástica? Esse é o nosso próximo assunto.