Evitar el uso de $_GET, $_POST y AJAX

[cobolero_poseido]

Hola a todos,

Estoy por empezar a hacer una aplicacion y no quiero usar variables $_GET ni $_POST, creo que es mas seguro usar $_SESSION, entonces quiero usar variables de session y evitar $_GET y $_POST.

Siempre que se hace click en un enlace o se presiona un boton se vuelve a llamar a la misma pagina. Es decir, el usuario lo unico que va a ver en la barra de direcciones es www.sitio.com/index.php

Tengo el siguiente problema,

En un momento se muestran varios links (vamos a suponer que son 10), esos links vuelven a cargar la misma pagina pero de acuerdo al link en el que se clickea la pagina hara una u otra cosa.
Ejemplo:

link1: muestra una imagen
link2: formulario de contacto
link3: alta de usuario
.
.
.
link10: listado de usuarios

link1: <a href="index.php" name="A1"> link1 </a>
link2: <a href="index.php" name="A2"> link2 </a>
link3: <a href="index.php" name="A3"> link3 </a>
.
.
.
link10: <a href="index.php" name="A10"> link10 </a>

Mi idea es que cuando un usuario presione un link, se guarde el nombre de este link en una variable de session. Luego, evaluo la variable de session y dependiendo de su valor cargo una u otra pagina.

Ejemplo:

$var_session

si el usuario hace click en link2, quisiera guardar en $var_session el valor 'A2'.

Luego, evaluar $_SESSION['var_session'], si es = 'A2' -> include('ejemploA2.php');

El problema es que php se ejecuta en el servidor y creo que no es posible hacer esto, pero quizas se pueda hacer algun truquillo con javascript. Tengo entendido que con AJAX se puede solucionar pero hagan de cuenta que no existe, ya que no manejo muy bien javascript y tengo entendido que la compatibilidad con los navegadores no es muy buena.

A alguien se le ocurre como puedo hacer, sin $_GET, $_POST ni AJAX

Desde ya muchisimas gracias

PD: Digo que $_GET y $_POST son inseguros por cosas que lei en este foro o buscando en google, asique tengan en cuenta que una solucion que involucren las dos anteriores no me servirian

[NUCKLEAR]

Pero esto involucraria a tener que pasar primero por tu index para ir a cualquier seccion de tu pagina, no veo por que no hacerlo como lo propones, pero, es para tanto...? no se que leiste, pero no creo que sea inseguro(si son tratadas de la forma correcta).... no se, cada uno con su rollo.

Saludos

[SPAWN3000]

No ley todo por lo extenso, pero creo que esto pogdra ayudarte:

- Sin get, ni post, ni otros por el estilo(Dificil).
Usandolos seria asi:

<a href="index.php?variable=seccionA">Carga las seccion A</a>
<a href="index.php?variable=seccionB">Carga las seccion B</a>
<a href="index.php?variable=seccionC">Carga las seccion C</a>

Luego en el index le dices:

<?php
$seccion = $_GET['variable'];
Analizas si:
If(isset($seccion){
index.php //Carga por defecto
...
}elseif($seccion='seccionA'){
//Aqui alteras la seccion que utilizas
//puedes usar clases e invocarlas, cada clase es un modulo(Formulario, contenido...)
//o utilizas include o include_once de acuerdo al caso y cargas lo que necesitas
}elseif(...){
...
}
?>

///Mas o menos, busca algo sobre desarrollo de web modular en php.

Si lo que quieres es evitar que el usuario vea esas direcciones engorrosas como www.misite.com/usuarios/?variable=seccion1

Utiliza Mod_rewrite de apache9Esto te permite):
una direccion de tipo:
www.misite.com/usuarios/?variable=seccion1
pueda ser equivalente a:
www.misite.com/usuarios/seccion1

No se si te interese...

Suerte, un saludo desde colombia!

[jam1138]

Iniciado por cobolero_poseido

[...] no quiero usar variables $_GET ni $_POST, creo que es mas seguro usar $_SESSION, entonces quiero usar variables de session y evitar $_GET y $_POST.

¿Por qué es inseguro GET o POST y no variables de sesion? . La inseguridad no te la da usar un método y otro, la pones tú al programar... no diré más porque seguro sabrás a lo que iría.

Ahora, ¿sabes qué son GET y POST?, ¿sabes qué es el protocolo HTTP?. En resumen, GET y POST son formas con los que se envía información al servidor, esta es una especificación HTTP (igual tienes PUT, pero este no es usado). Las sesiones son una herramienta de PHP que te sirve para propagar información a través de diferentes scripts. Que quede claro: UNA COSA NO SUSTITUYE A LA OTRA. Si necesitas enviar información al servidor, tienes que recurrir a GET o POST (que son los más usados) simplemente porque así se hace.

AJAX solo hace esas peticiones "en segundo plano", evitan recargar la página, pero la información se sigue enviando tal cual lo harías directamente.

Lo único que se me ocurre para que obtengas lo más parecido a la idea que tienes ahora (que, creo esta mal esa idea) es manejar todo en el cliente. Para evitar enviar información (entiéndase, "usar GET o POST") es no enviandola. Tendrías que cargar todo el contenido en una sola página y ocultar/mostrar determinadas partes de ese contenido con JavaScript, si necesitaras enviar información al final de cuentas, podrías hacerlo una sola vez, cuando finalice tu aplicación. Claro, pensar seriamente en algo así te causará más problemas de los que te solucionará, empezando por --ajá-- la seguridad , siendo parte del cliente, esta a su disposición todo el código y su comportamiento.

En resumen (y es todo lo que debí decir) tienes un error de concepto y el evitar "usar GET o POST" solo "por seguridad" es solo neurosis tuya .

Saludos

[desendoll]

No estoy de acuerdo en lo que decís de que es mala idea utilizar solo un index.php (en lo de las variables sí).
Yo utilizo siempre un solo index.php con un case, y pasando por get o psot modifico las secciones, después con un sencillo mod_rewrite haces una indexación perfecta.

[farra]

Man, al pedo te vas a complicar tanto... y lo que decis no se puede hacer por que de cualquier forma tenes que pasarle por GET o POST el valor a la variable de sesion... y no es muy buena idea llenar tu server con variables de sesion creo que podria afectar la performance y no creo que quieras eso...

la inseguridad que tienen Get o Post son las inyecciones sql, pero eso es facil de solucionar...

usa esta funcion:

Código PHP:

  if (!function_exists("GetSQLValueString")) {  
function GetSQLValueString($theValue, $theType, $theDefinedValue = "", $theNotDefinedValue = "")   
{  
  $theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue;  
 
  $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue);  
 
  switch ($theType) {  
    case "text":  
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";  
      break;      
    case "long":  
    case "int":  
      $theValue = ($theValue != "") ? intval($theValue) : "NULL";  
      break;  
    case "double":  
      $theValue = ($theValue != "") ? "'" . doubleval($theValue) . "'" : "NULL";  
      break;  
    case "date":  
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";  
      break;  
    case "defined":  
      $theValue = ($theValue != "") ? $theDefinedValue : $theNotDefinedValue;  
      break;  
  }  
  return $theValue;  
}  
}  
   

Ejemplo de como usar:

Código PHP:

   
$variable=GetSQLValueString($_GET['Id'],"int");  
   

y listo esta limpia tu variable $_GET['Id']...

esa funcion lo que hace es limpiar la variable GET o POST... con mysql_real_escape_string , stripslashes y get_magic_quotes_gpc y tambien validando el tipo de dato...

[caricatos]

Hola:

Las variables solo las puedes pasar por "variables" ($_GET/$_POST)... y si quieres usar un solo destino creo que será imposible (opino que el tema y el planteamiento es absurdo)... pero si insistes en no usar esas variables, la única forma que se me ocurre es con distintas url's y redireccionando según esa url... por ejemplo, una url que sea destino_i_25.php y que manejando el string de la url crear una variable de sesión tal que $_SESSION["i"] = 25, y luego con un redireccionamiento (header: locaton), ir siempre a destino.php pero con las variable asignadas... pero es muy enrevesado, tal como las otras opciones que te puedan plantear... en resúmen: absurdo (es solo una opinión)

Saludos

[jam1138]

Iniciado por desendoll

No estoy de acuerdo en lo que decís de que es mala idea utilizar solo un index.php (en lo de las variables sí).
Yo utilizo siempre un solo index.php con un case, y pasando por get o psot modifico las secciones, después con un sencillo mod_rewrite haces una indexación perfecta.

No habla de "usar solo un index", él plantea el envío de información al servidor, ¡sin enviar información! que es donde esta el error.

Es eso lo que tiene que estar claro, el cómo ya será otro tema.

[jam1138]

Iniciado por caricatos

[...] la única forma que se me ocurre es con distintas url's y redireccionando según esa url... por ejemplo, una url que sea destino_i_25.php y que manejando el string de la url crear una variable de sesión tal que $_SESSION["i"] = 25, y luego con un redireccionamiento (header: locaton), ir siempre a destino.php pero con las variable asignadas... pero es muy enrevesado, tal como las otras opciones que te puedan plantear... en resúmen: absurdo (es solo una opinión)

... buena idea ... osea, absurda como bien dices, tener un archivo por caso solo para asignar variables --de sesión en este caso-- es una complicación innecesaria (que problema estar controlando el flujo de la información a ese nivel, igual podría ser inseguro ), pero, sin embargo, es una solución válida. No se me habría ocurrido ... que loco .

Saludos

[jeanclon]

Vaya polemico esto no. Bueno otra manera seria colocar todo el codigo en la pagina y simplemente ocultar o mostrar la info con javascript segun el link que presiones, jeje. (solo una opinion mas)

[jam1138]

Iniciado por jeanclon

Vaya polemico esto no. Bueno otra manera seria colocar todo el codigo en la pagina y simplemente ocultar o mostrar la info con javascript segun el link que presiones, jeje. (solo una opinion mas)

¿polémica? ... naaahhh , esto de pensar en soluciones poco ortodoxas es divertido, pero hasta ahí.

BTW, pareciera JS sería lo mejor.

Iniciado por jam1138

[...] que cargar todo el contenido en una sola página y ocultar/mostrar determinadas partes de ese contenido con JavaScript[...]

... y ahora se me ocurre, ¿y por cookies? , para PHP sería lo mismo que las sesiones, no sustituye el envío de información, sin embargo, pueden tratarse con JS.

[GatorV]

Iniciado por caricatos

Hola:

Las variables solo las puedes pasar por "variables" ($_GET/$_POST)... y si quieres usar un solo destino creo que será imposible (opino que el tema y el planteamiento es absurdo)... pero si insistes en no usar esas variables, la única forma que se me ocurre es con distintas url's y redireccionando según esa url... por ejemplo, una url que sea destino_i_25.php y que manejando el string de la url crear una variable de sesión tal que $_SESSION["i"] = 25, y luego con un redireccionamiento (header: locaton), ir siempre a destino.php pero con las variable asignadas... pero es muy enrevesado, tal como las otras opciones que te puedan plantear... en resúmen: absurdo (es solo una opinión)

Saludos

Que en si es lo mismo que si ocuparas mod_rewrite, y "enmascararas" las variables para que no sea tan logico que son por get como por ejemplo:

http://host/archivo/getcontact/id/25/

Saludos.

[pateketrueke]

yo diria.... polemico, no.... (buena idea la de GatorV)

jeje, me da un poco de curiosidad... ¿quien puede creer que nos son seguros GET/POST??

digo, ademas... de que siempre, y digo.. siempre, necesitas del servidor... asi que... cobolero_poseido ¿que estas pensando???

no veo que postees... o ya metiste la cola entre las patas ? (sin ofender) xD

todos sabemos que es inevitable usar GET/POST en algun momento.... digo, siempre... asi que, no hay que dudar.... ponte a practicar, o platicar!

[jam1138]

Iniciado por GatorV

Que en si es lo mismo que si ocuparas mod_rewrite, y "enmascararas" las variables para que no sea tan logico que son por get como por ejemplo:

http://host/archivo/getcontact/id/25/

Saludos.

Para el caso, mejor con AJAX .

[GatorV]

jejej pues si, pero creo que si vemos en curva de aprendizaje / implementacion es mas sencillo usar mod_rewrite (una vez que tienes tus reglas bien puestas).

[Lord Kazuky]

Hablando de seguridad no hay nada que realmente sea seguro. La seguridad depende de muchos factores de muchas cosas.

La premisa en las aplicaciones es que siempre (sin importar cual metodo uses) valides el tipo de información que envia el usuario. Ya que cualquier información enviada desde el cliente es sensible a venir alterada o con errores.

Digamos que con el metodo de sobreescribir la URL con el mod_rewrite o alguna solucion similar, pues haces algo de "ocultamiento", lo cual hace que el sistema sea tan seguro en el tiempo como el que se tarde en descubrir su debilidad. Asi que necesariamente debes validar los datos que llegan de los usuarios.

Ahora lo de los metodos GET y POST, pues creo que cada cual sirve a un proposito:

GET se usa para solicitar informacion al servidor.
POST para enviar informacion al servidor

Naturalmente cada uno puede involucrar muchos procesos distintos al lado del servidor. Pero originalmente fueron concebidos para estas dos formas de trabajo.

Entonces si vas a realizar una consulta al servidor, digamos listar el producto 15 de una tabla, pues lo haces con un metodo GET, porque solo envias ese parametro al servidor y no envias un monton de campos que podrian venir por POST por ejemplo.

Y si deseas almacenar un formulario, lo haces generalmente por POST, para que no tengas problemas al recibir la informacion sobre todo de campos con valores muy grandes. Creo que hay un limite en las URLs.

Saludos!

[cobolero_poseido]

yo diria.... polemico, no.... (buena idea la de GatorV)

jeje, me da un poco de curiosidad... ¿quien puede creer que nos son seguros GET/POST??

digo, ademas... de que siempre, y digo.. siempre, necesitas del servidor... asi que... cobolero_poseido ¿que estas pensando???

no veo que postees... o ya metiste la cola entre las patas ? (sin ofender) xD

todos sabemos que es inevitable usar GET/POST en algun momento.... digo, siempre... asi que, no hay que dudar.... ponte a practicar, o platicar!

pateketrueke, no conteste antes porque recien vengo del trabajo, no es que tenga la cola entre las patas.

Quizas estaba mal informado sobre que era inseguro usar $_GET y $_POST, mas alla de si es seguro o no, no me gusta usar $_GET porque queda feo que se vean el valor de las variables en la barra de direcciones(a mi no me gusta, seguramente hay gente que no va a estar de acuerdo).

De ultima podria usar $_POST para evitar lo anterior, pero nose como al clickear en un link enviar variables por POST, gracias.

[jam1138]

Ahora es de estética el asunto ... ... [broma]si tan solo se pudiera poner de rosita la barra de direcciones...[/broma]

Enviar información por POST por medio de un enlace es tema de JavaScript (cambias el comportamiento del cliente), manejando formularios ocultos y con el evento onClick podrás hacerlo. La pregunta ahora sería, ¿y qué tipo de información querrías enviar a través de un enlace??? .

Creo el comentario de Lord Kazuky es lo mejor que ha habido en esta conversación, hay que leerlo bien.

[NUCKLEAR]

Si lees mas arriba te plantearon hacerlo usando mod rewrite. Asi queda una url muy fashion y vas a estar a la moda, me pregunto despues que nos deparara el futuro? no me imagino escribiendo las url con emoticones....

[venkman]

Cobolero, deberías leer un poco más sobre qué son las cosas y sus razones de ser antes de descartarlas.

En concreto te recomiendo que busques información sobre REST, sobre los métodos del protocolo HTTP (GET; POST; PUT; HEAD; DELETE) y qué es lo que significa cada uno y para qué debe ser usado. Estas cosas, además, no son por sí mismas ni seguras ni inseguras, sino que la seguridad o inseguridad está en cómo y para qué se utilicen.

Y en cuanto a la fealdad... hay soluciones -como el modrewrite que te han comentado ya- u otras.

Lo que tengo claro es que: No puedes dejar de utilizar GET y POST. No debes utilizar siempre POST. No debes utilizar siempre GET.

[cobolero_poseido]

He visto varios post en donde se consultaba como se hacia para evitar el uso de $_GET, y casi todas las respuestas eran:

por que quieres evitarlo?
estas confundido con el uso de GET ?
lee sobre el tema, no entiendes el concepto de GET
...

bla
bla
bla

Todas eran respuestas que no resolvian la duda, sino que eran respuestas soberbias y siempre tratando de sobrar al autor del post original. Bueno, este post no fue la excepcion, ya que muchas de las respuestas fueron como las anteriores. Igualmente, algunas respuestas me sirvieron de mucho y tratare de repensar algunas cosas para poder encarar el desarrollo de la aplicacion de la mejor manera. Gracias a todos por su tiempo

[GatorV]

Esque el problema viene desde el concepto, es como decir, "Yo no quiero que mi auto ande sobre llantas circulares, quiero que sean cuadrados porque asi lo quiero".

Ve a cualquier foro automotriz y ve que te contestan. Aca es lo mismo, el formato de transporte HTTP que esta en las especificaciones de HTTP y que son Universales y sobre las que se basan todos los lenguajes, programas, exploradores, etc. Es que los datos se envien por GET, o por POST, (anteriormente tambien se usaba DELETE, y PUT pero ya no son tan usados).

La razon, es porque asi es la forma mas sencilla, no hay de otra. Si tu quieres enmascarar, quitar, usar otra cosa, etc. etc. Es porque desde un inicio no estas planetando bien la base de tu sistema, que debe de ser la seguridad, y el filtrar correctamente los datos.

Saludos.