¿Existe algún riesgo relacionado con permitir que los usuarios creen sus propias URL?

Navega tus respuestas
3

Estoy a punto de lanzar una plataforma de comercio electrónico donde los usuarios tienen su propia URL de tienda basada en el nombre de usuario de IE, mi nombre de usuario en la pila es NoobSkie, por lo que accedería a mi tienda en

www.example.com/noobskie/shop

¿Hay algo que podría ir mal con esta configuración con personas que intentan manipular las URL?

    
pregunta NooBskie 24.04.2017 - 11:44
fuente

4 respuestas

2

Depende de la validación que esté vigente con respecto al nombre de usuario.

Si ya tienes

  • incluir en la lista blanca los caracteres en el nombre de usuario solo para alfanuméricos
  • restringir el tamaño máximo de los nombres de usuario
  • asegurar la unicidad del nombre de usuario
  • asegúrese de que ningún nombre de usuario pueda coincidir con las URL existentes (depende de su sitio, tal vez no sea necesario. Es si tiene, por ejemplo, algo como /default/shop o /welcome/shop )

, no veo mucho riesgo :)

    
respondido por el niilzon 24.04.2017 - 11:46
fuente
2

¿Permites que los usuarios personalicen su tienda? Si pueden editar HTML, pueden incluir JavaScript, lo que permitiría un ataque de scripts entre sitios. Debido a esto, muchos servicios tienen URL como: enlace

    
respondido por el paj28 24.04.2017 - 12:27
fuente
2

Ya que Let's Encrypt permite a los administradores del servidor validar el dominio utilizando un punto final /.well-known/acme-challenge , un usuario malintencionado podría registrar un nombre de usuario .well-known y configurar una tienda con el nombre acme-challenge .

Es imposible conocer todos los mecanismos de validación que existen, por lo que optaría por la solución ya propuesta por @ paj28, que es proporcionar a los usuarios una URL en forma de $username.example.com .

    
respondido por el jornane 24.04.2017 - 12:44
fuente
1

Asegúrese de que las personas no puedan cometer robo de identidad con su sistema o crear cuentas falsas. Lo que quiero decir es algo como

example.com/amazon

Las personas pueden usar nombres de marcas de terceros, por ejemplo. Esto es ilegal en muchos países y puede causarle problemas en consecuencia.

    
respondido por el onreact 24.04.2017 - 17:28
fuente

Lea otras preguntas en las etiquetas

Me enamoré de un ataque de phishing. ¿Qué debería hacer ahora? Tráfico TCP seguro para la comunicación entre procesos