¿Ocultar y ocultar las claves de los parámetros de la URL es una protección contra la manipulación?

Ocultará la ubicación real de la secuencia de comandos, pero por sí misma no hay nada que impida que un atacante adivine / dirbustings / etc el archivo product.php y acceda a él directamente. El atacante tendría que identificar los nombres de parámetros correctos (id & action). Una vez que el atacante accede directamente al archivo, la regla de reescritura no se aplica.

Por lo tanto, podría aumentar el esfuerzo mínimo requerido para atacar su secuencia de comandos, sin embargo, es posible que deba volver a escribir las reglas y no sean muy amigables con el rendimiento, por lo que podría estar introduciendo una condición de denegación de servicio en el proceso.

Una buena forma de abordarlo es desinfectar las entradas del usuario en un método PHP dedicado poco después de invocar la solicitud.

Esto tiene varias ventajas:

• Siempre está seguro de que solo se envían los argumentos con el formato correcto, por ejemplo, los ints son ints y las cadenas son cadenas sin nada inusual
• Se pasa la cantidad correcta de argumentos, por ejemplo, no hay forma de agregar otro argumento y hacer que el script haga otra cosa.

Si puede encontrar dos de los anteriores, es probable que pueda eliminar algunos errores existentes, como pasar una lista incompleta de argumentos y no inicializar correctamente las variables.

Esto le brinda un mejor enfoque estructural para su código PHP y realmente la validación de entrada obligatoria.

La validación de entrada normalmente se realiza mediante métodos estándar, sin embargo, antes de la solicitud de enrutamiento, es bueno tener un lugar donde desinfectarlos: este es un método bueno y válido porque lo importante es desinfectar la entrada antes de llamar a otros métodos.

De esta manera, lo mejor es llamar siempre al método de un controlador, y verificar si todos los argumentos coinciden (existen) y son del tipo requerido (en el método del controlador, que principalmente realiza la comprobación y después de eso solo llama a otro servicio) , por ejemplo (solo es un semi-código para mostrar la lógica en el controlador):

//router
if($_GET['action'] === 'showItem') {
    showItemController();
}

//controller
function showItemController() {
    try {
        $id = $_GET['id'];
        if(!isint($id)) {
           throw new Exception("id '{$id} is wrong");
        }
        $output = showItem($id);
        render($output);
    } catch(Exception $e) {
      logError($e);
      displayGenericFail();
    }
}

//service
function service($id) {
    $item = new Item($id);
    return $item->getHtml();
}