代码之家 › 专栏 › 技术社区 › rubio

使用php和ajax验证表单帖子

sql-injection xss validation security php

0

rubio · 技术社区 · 13 年前

我在Extjs中有一个表单,它通过POST向我的控制器提交数据。提交数据时,用户将在我的控制器的构造函数中进行身份验证。但是,我如何确保用户提交的数据是允许他更改的。实例

Tim是用户。蒂姆将编辑他的“团队描述”。在表单中,我会让他的groupid告诉我的函数要编辑什么“group”。如果Tim决定对他的朋友Robbert开个玩笑,把groupid改为Robberts groupid并编辑描述,会怎么样。

我的问题我是否必须选择“groupid”及其权限以及用户身份验证数据,并进行比较以验证Tim是否是该组的所有者?我需要创建某种类型的POST secrect md5值吗?他们的方式更简单吗

如果有人将数据从其他服务器发布到我的服务器,该怎么办?

我很高兴我能在网上问一些愚蠢的问题:)谢谢

1 回复 | 直到 13 年前

1

0

bobince 13 年前

我是否必须选择“groupid”及其权限以及用户身份验证数据,并进行比较以验证Tim是否是该组的所有者?

是的,这将是进行授权检查的正常方式。这并不特别繁重。

我需要创建某种类型的POST secrect md5值吗?

不是为了授权。当你需要在以后发布授权令牌时,你通常会使用某种带有时间戳的HMAC。但这里没有必要这样做,只需检查用户在请求时是否有权执行他们请求的操作。

为了防止跨站点请求伪造,您可能确实需要创建某种类型的POSTed机密,但这将是一个不同的问题。它通常不会与授权问题相互作用。