Ako zabranit aby uzivateli menili premenne v GET – PHP – Fórum – Programujte.com

Rozšířené hledání ›

Nejnovější témata ve fóru

09:02, .NET Testing Lab for Honey and Honey Products - FARE LABS Pvt.…

08:39, Python Výběr pixelu klikem v zoomované oblasti [prohlížeč obrázku]

14:30, Funkcionální progr… Dummy smart a Kunstinteligenz

14:46, Python Používáte SQLAlchemy nebo pandas? pymysql

11:30, Funkcionální progr… Promotic

09:34, Software KAPEKA - zadní dvířka do woken

Stavba Laser Arény
Laser Game Brno

Fórum › PHP

Ako zabranit aby uzivateli menili premenne v GET

Koder

~ Anonymní uživatel
~ 26 příspěvků

21. 1. 2007 #1

Mam guestbook , v ktorom vypisujem prispevky a rozdelujem ich podla poctu na
niekolko stranok. Pocet stranok a maximalny pocet prispevkov , ktory sa moze
zobrazit na stranke zistujem cez GET. Tympadom vsak hocikto moze tieto premenne
menit nemyslim ,ze to moze ohrozit bezpecnost(alebo ano ?) ,ale vadi mi to.
Neviete ako tomu zabranit ? popripade ako inak vypisovat prispevky?

Nahlásit jako SPAM

IP: ...–

Matej Zabsky 0

Boss

21. 1. 2007 #2

1) pouzivej register_globals=off
2) Daty id klienta MUSIS VZDY KONTROLOVAT, jakakoliv data se daji podstrcit (vcetne POST dat). GET je zrovna ten pripad kde je to uplne nejjednodussi. Tam se tomu neda zabranit.

Nahlásit jako SPAM

IP: ...–

Prosím, jestli potřebujete s něčím poradit,zeptejte se na fóru. Jakýkoliv bezdůvodný pokus mě kontaktovat skončí okamžitým přidáním do ignore listu![br][br] Současný počet osob, které to nepochopily: 7

bugy 0

Návštěvník

21. 1. 2007 #3

To Koder: no já si myslím, že v tom moc problém není, ikdyž záleží na tom, jak to máš naprogramovaný. Předpokládám, že si posíláš takovýto proměnný

diskuze.php?strana=2&pocet_prispevku_na_stranu=10

, takže pak jen podle toho omezíš výběr z databáze

... LIMIT 20,10

(za předpokladu že začínaš "nultou" stranou, aby se to líp počítalo).

Problém může být v přebíraní proměnných GET, musíš ošetřit, aby to byly čísla a ještě líp, když v případě "špatných hodnot" (kupříkladu pocet_prispevku_na_stranu by bylo rovno 0 nebo by byly zadáné hodnoty takové, že by to nevybralo žadné komentáře) tak nastavíš nějaké defaultní hodnoty.

Asi nejdůležitější je, aby ti SQL dotaz neházel chyby, když nevybere žadný příspěvek, tak s tím musí ten, kdo ti přepisoval hodnoty proměnných GET, smířit, ale normální návštěvníku se to nestane.

Nahlásit jako SPAM

IP: ...–

co takhle vyletět si na Měsíc ... mmm ... vomrknout jestli tam není náhodou vedle moře klidu taky moře něčeho rozumnějšího

Jakub0