Ajax.Send, é seguro usar?

[Haseo 0]

Bem, eu estou desenvolvendo alguns scripts que se utilizam de ajax para o preenchimento de um form. Até ai tudo bem, na hora de se enviar estes dados, eu estou fazendo por através do método ajax.send e funciona perfeitamente. Mas minha preocupação é saber se as variaves deste método estarão vuneraveis, uma vez que elas podem ser facilmente visualizadas ao se exibir o código da página. Usuários mau intensionado existem aos baldes, por isso é importante criar um "sistema" que não seja facil burlar, fechando qualquer ponto vuneravel.Então aqui inicio minha pequena discução em busca de uma solução para o meu dilema. Embora o ajax.send facilite na hora de enviar essas informações, ele poderia me expor a sql_injection e afins?Existe alguma forma de proteger estas variaveis?Ou mesmo, existe algum método semelhante ao ajax.send que seja mais seguro que o mesmo?

[Tiago Cardoso 1]

Movido para AJAX

[void 1]

você tem q lembrar que verificação de sql injection e afins você tem q fazer no server!!por exemplo eu nunca faço validação de fomularios no view(interface) com js pq é inutil como você disse um user como eu tb faço pode mudar um valor e enviar os dados que ele quer para o server!acredito q a segurança deve ser feita no backend e naum na view!!the void

[Haseo 0]

sim, concordo, mas acredito também que manter em segurança as informações que serão enviadas pelas variaves, pode te previnir muitas dores de cabeça. Antes de jogar os valores nas querys que serão enviadas para o bd, eu tento fazer verificações nos conteúdos, para verificar que tipo de dados estão sendo inseridos. Por mais que seja feita uma varredura nas variaves, sempre tem alguma coisa que passa, basta o cara ter saco de ficar tentando. Agora se houver uma forma de impossibilitar que o transgressor possa ter um acesso livre a estas variaveis, tornaria o trabalho dele mais cansativo, pq no final seriam duas barreiras que ele teria que burlar, tanto server-side, quanto client-side. O prob que eu vi no ajax.send é que ele deixa estas variaves que são tratas via js, "abertas"...basta ele ver o nome do "source view", jogar um lixo qualquer e esperar uma resposta. Tenho buscado formas de usar o ajax.send sem ter que mostrar estas variaveis, isso seria uma vunerabilidade a menos a ser explorada...

[void 1]

infelizmente naum tem outro jeito!!o ajax deixa o view mais vuneravel e obriga a tratar tudo no backend!!

[Haseo 0]

sim, mas vendo pelo formulário, o usuário não estaria vendo como a variavel está sendo usada, tipo...se for em php, tú pode colocar o valor recebido dentro de outra variavel, usando um split da vida pra verificar o conteúdo(é um exemplo) e só depois mandar a informação pro banco de dados....já o ajax.send não....(ou será que eu estou sendo cabeça dura demais)

[Oliveira Junior 0]

Gostaria de aproveitar este topico que fala sobre Ajax e tb o metodo POST, como eu envio por Ajax e recebo no PHP um formulario pelo metodo POST?obrigado!Pessoal ja consegui fazer,mesmo assim obrigado!