Descargar archivos mediante un formulario

[pampitasnowman]

Hago una validación en javascript del llenado de los campos del form. Si los campos se llenan correctamente, se pone a bajar el archivo y se redirecciona a otra página.
Estoy leyendo el link que me pasó Kayetano, que habla sobre las des/ventajas de la validación del lado del cliente, como del lado del servidor.
No sé a que te referís con arma de doble filo (soy novato en la programación dinámica de sitios web).
Saludos, Nacho.

[semptrion]

Pues resulta que el hidden no será visto por el usuario y resulta útil ya que guarda información del documento pdf. Pero el que no sea visto en la representación de la página web no significa que no pueda ser visto en el código HTML de la página.

Si tú señalas el documento a descargar colocando el valor en un hidden, estará expuesto el valor o la dirección del documento. Un programador web que esté atento, verá que estás enviando el nombre del archivo pdf a descargar. La primera vez, llenará el formulario. Las siguientes, simplemente obviará el formulario y recurrirá a la dirección que llama el formulario y no parará hasta "vaciarte" los pdfs o las cosillas que tengas de valor sin pasar por el "molesto" formulario.

Resultado: usa hidden si lo que quieres es obstaculizar. Pero si quieres proteger... ese es otro asunto.

Saludos

[pampitasnowman]

Si, entiendo el problema que planteas, voy a intentar pensar otra solución, para ver como puedo solucionar ese agujero en el código. Muchas gracias por el dato!
Un saludo, Nacho.

[[kayetano]]

Hola

Empezado por semptrion

Resultado: usa hidden si lo que quieres es obstaculizar. Pero si quieres proteger... ese es otro asunto.

Creo que te equivocas, por dos razones:
1. Se puede indicar el nombre del archivo pero no su situación, por lo que se complica la descarga saltandose el formulario.
2. Como ya se ha comentado en otro hilo, se puede (mejor dicho SE DEBE) validar del lado del servidor, es decir, comprobar que el formulario se a cumplimentado correctamente del lado del servidor, sistema muy complicado de saltarse.
Además existe la opción de ofuscar o encriptar el nombre del archivo añadiendo algún tipo de código variable (fecha o hora) con lo que ya resultaría imposible la descarga directa.
En resumen que el uso de hiddens es muy normal y no es ningún tipo de arma de doble filo. Como bien indicas los buenos programadores pueden hacer cosas muy buenas.

[semptrion]

Empezado por kayetano

Hola
Creo que te equivocas, por dos razones:
1. Se puede indicar el nombre del archivo pero no su situación, por lo que se complica la descarga saltandose el formulario.
2. Como ya se ha comentado en otro hilo, se puede (mejor dicho SE DEBE) validar del lado del servidor, es decir, comprobar que el formulario se a cumplimentado correctamente del lado del servidor, sistema muy complicado de saltarse.
Además existe la opción de ofuscar o encriptar el nombre del archivo añadiendo algún tipo de código variable (fecha o hora) con lo que ya resultaría imposible la descarga directa.
En resumen que el uso de hiddens es muy normal y no es ningún tipo de arma de doble filo. Como bien indicas los buenos programadores pueden hacer cosas muy buenas.

La verdad es que si el formulario está pasando por el servidor para descargar el documento, lo que dije está demás.
Pero ese no es el caso. Lo que sucede es si la dirección (URI) del archivo está contenida en el hidden, entonces, conociéndola ya no es necesario llenar el formulario. Únicamente es necesario escribir el URI que está en el hidden y ya está hecho todo no crees?

[roman]

Si se pone toda la ubicación pues ciertamente nada impide descargar directamente el archivo. Pero creo que kayetano se refirió desde un principio al nombre del archivo.

En realidad, el nombre del archivo se pasa como podría pasarse cualquier otro identificador (un número por ejemplo), y es el servidor quien- con base en dicho identificador -escoge el archivo real y lo manda al cliente.

// Saludos

[semptrion]

Como dije, si observas el lugar de descarga del documento, el nombre base es suficiente para descargar otros documentos de los que tienes el nombre base.

En cuanto a la segunda parte de tu última observación, es lo que debe hacerse. En realidad no se maneja el nombre del archivo a descargar, sino una representación de ese nombre. Y en ese caso, no importa que se use hidden o get, ya que debe existir un programa de transformación de la representación que necesariamente validará la data recibida.