[h.....l]

#prestashop #php #pytaniedoeksperta #security #programowanie
Potrzebuję dobrego tokenu csrf, Tools::getToken() niestety działa tak, że dla każdego niezalogowanego daje to samo. Wiecie jak to rozwiązać, najlepiej używając gotowych funkcjonalności presty?

[Webber]

@hjkl: przecież token jest generowany po identyfikatorze, gdy ktoś jest niezalogowany to po idguest, gdy zalogowany to po idcustomer, prawda? Więc nie powinno się zdarzyć by był taki sam dla każdego, to przeczy sensu używania tokenów :)

[h.....l]

@Webber: Na pewno?
/**
* Get token to prevent CSRF
*
* @param string $token token to encrypt
*/
public static function getToken($page = true, Context $context = null)
{
if (!$context) {
$context = Context::getContext();
}
if ($page === true) {
return (Tools::encrypt($context->customer->id.$context->customer->passwd.$SERVER['SCRIPTNAME']));
} else {
return (Tools::encrypt($context->customer->id.$context->customer->passwd.$page));
}
}

[Webber]

@hjkl: niepokojące, szczerze pisząc jestem niemal pewien, że dla id było przypisywane idguest jeszcze jakiś czas temu, hmm... na pewno możesz zrobić override tej metody, każdy user dostaje unikatowe id_guest i być może warto wykryć czy jest zalogowany - jeśli tak to bazujesz na idcustomer, jeśli nie to bazujesz na idguest

[h.....l]

@Webber: Mogę nie nadpisywać tej metody, tylko do parametru $page dokleić id_guests, ale wydaje mi się, że to powinno być lepiej rozwiązane. Może jest gdzieś druga, lepsza metoda i używam tej złej.

[krypod]

@hjkl: rozmawiałem z core teamem i nie ma innej metody ponieważ nie ma sytuacji w której gość korzystałby z czegoś co musi zostać zabezpieczone przez token (wobec domyślnych funkcjonalności PrestaShop)

Tutaj snippet poprawionej metody:
https://gist.github.com/kpodemski/703c9fe2b508fecdd709bf79439e2569

[h.....l]

@krypod: To, że oni tego nie używają, to nie znaczy że twórcom modułów się to nie przyda. Założę się, że istnieją moduły #!$%@? pod względem bezpieczeństwa z tego powodu.

[krypod]

@hjkl: zgadzam się z Tobą, wdrożę tę zmianę do silnika jako usprawnienie, być może będzie w 1.6.1.7