Ako zabranit aby uzivateli menili premenne v GET – PHP – Fórum – Programujte.com

Rozšířené hledání ›

Nejnovější témata ve fóru

22:06, Startupy Megastroj.cz – Vše na jednom místě: půjčovna, bazar a inze…

21:17, Inzerce FPGA vývojová deska XILINX VIRTEX 5 ML507

20:59, OS - GNU / Linux Ubuntu a OpenSuse

21:47, Offtopic Digitalizace v Česku

10:10, Cinema 4D Export USDC do DaVinci Resolve

16:58, Photoshop Jak odstranit (potlačit) odlesky

Stavba Laser Arény
Laser Game Brno

Fórum › PHP

Ako zabranit aby uzivateli menili premenne v GET

Koder

~ Anonymní uživatel
~ 26 příspěvků

21. 1. 2007 #1

Mam guestbook , v ktorom vypisujem prispevky a rozdelujem ich podla poctu na
niekolko stranok. Pocet stranok a maximalny pocet prispevkov , ktory sa moze
zobrazit na stranke zistujem cez GET. Tympadom vsak hocikto moze tieto premenne
menit nemyslim ,ze to moze ohrozit bezpecnost(alebo ano ?) ,ale vadi mi to.
Neviete ako tomu zabranit ? popripade ako inak vypisovat prispevky?

Nahlásit jako SPAM

IP: ...–

Matej Zabsky 0

Boss

21. 1. 2007 #2

1) pouzivej register_globals=off
2) Daty id klienta MUSIS VZDY KONTROLOVAT, jakakoliv data se daji podstrcit (vcetne POST dat). GET je zrovna ten pripad kde je to uplne nejjednodussi. Tam se tomu neda zabranit.

Nahlásit jako SPAM

IP: ...–

Prosím, jestli potřebujete s něčím poradit,zeptejte se na fóru. Jakýkoliv bezdůvodný pokus mě kontaktovat skončí okamžitým přidáním do ignore listu![br][br] Současný počet osob, které to nepochopily: 7

bugy 0

Návštěvník

21. 1. 2007 #3

To Koder: no já si myslím, že v tom moc problém není, ikdyž záleží na tom, jak to máš naprogramovaný. Předpokládám, že si posíláš takovýto proměnný

diskuze.php?strana=2&pocet_prispevku_na_stranu=10

, takže pak jen podle toho omezíš výběr z databáze

... LIMIT 20,10

(za předpokladu že začínaš "nultou" stranou, aby se to líp počítalo).

Problém může být v přebíraní proměnných GET, musíš ošetřit, aby to byly čísla a ještě líp, když v případě "špatných hodnot" (kupříkladu pocet_prispevku_na_stranu by bylo rovno 0 nebo by byly zadáné hodnoty takové, že by to nevybralo žadné komentáře) tak nastavíš nějaké defaultní hodnoty.

Asi nejdůležitější je, aby ti SQL dotaz neházel chyby, když nevybere žadný příspěvek, tak s tím musí ten, kdo ti přepisoval hodnoty proměnných GET, smířit, ale normální návštěvníku se to nestane.

Nahlásit jako SPAM

IP: ...–

co takhle vyletět si na Měsíc ... mmm ... vomrknout jestli tam není náhodou vedle moře klidu taky moře něčeho rozumnějšího

Jakub0