Inyección y Autenticación Rota

Hola. En esta lección, veremos cómo volver a autenticar para acciones sensibles. Incluso si expiramos las sesiones, los piratas aún podrían hacer mucho daño antes de que expire la sesión. Otra táctica que podemos usar para limitar el daño. es obligar al usuario a introducir su contraseña para acciones sensibles. Esto es utilizado por muchas aplicaciones de comercio web. Vamos a tratar la edición de un perfil. como una acción sensitiva. El primer paso es proporcionar un campo en la pantalla de editar perfil para que el usuario ingrese su contraseña actual. Vamos a hacer eso en el archivo de plantilla. Así que aquí tenemos el archivo de plantilla. para el editor de perfil, y podemos ver que hemos comentado actualmente espacio para su contraseña actual. Así que lo descomentamos y lo guardamos. Ahora, si actualizamos esa página, vamos a ver que tienen espacio para escribir su contraseña actual. El segundo paso es validar la contraseña en el script de edición de perfil. Entonces, si miramos edit profile.php, podemos ver que en las lineas 23 y 24 tenemos un código que verificará la contraseña a ver si es lo mismo como contraseña del usuario. Bueno, descomenta eso y luego guardarlo. Ahora deberíamos poder ir y realmente probar esto. Así que si hacemos un cambio en el perfil y luego entrar en otra cosa que la contraseña real del usuario, podemos ver que el cambio no se hizo. Introducimos la contraseña real del usuario. Podemos ver que se realizó el cambio. Esto evita que un hacker de robar una sesion y luego editar el perfil. Todavía pueden hacer otras cosas. Por ejemplo, como administrador, todavía podrían eliminar publicaciones. Probablemente deberíamos tratar eso como una acción sensible también y volver a solicitar al usuario su contraseña. En general, no desea volver a solicitar al usuario su contraseña por cada acción, porque eso rápidamente se volverá molesto para el usuario. Así que reduzca su lista de acciones a aquellas que son lo suficientemente sensibles que pueden hacer daño si un hacker fuera capaz de realizarlos y luego vuelva a verificar solo para esos. Gracias por ver. En la próxima lección veremos cómo almacenar datos confidenciales encriptados.