Označení korektního údaje autorem článku – PHP – Fórum – Programujte.com

Ahoj, mám stránku, kde uživatelé zadávají své odpovědi. Třeba něco jako StackOverflow. Pokud je tato odpověď správná, měla by se zapsat do databáze. Odkaz pro zapsání do databáze mám nějak takhle:

check.php?od=ja&pro=nekoho

Tento odkaz uloží do databáze údaj o tom kdo označil danou odpověď a také komu.

Nastává zde problém, pokud někdo pošle přihlášenému uživateli (ten který může označit odpověď za pravdivou) tento odkaz, tak může označit teoreticky sebe a získat poté nějaké body za odpověď.

Napadá mě to zrealizovat přes formuláře, kam bych dal nějaký token. Je zde jiná možnost? Děkuji za odpovědi.

???

Chces dat plusko ke zprave, tak logicky potrebujes id_zpravy, id_uzivatele. Id_uzivatele mas v session, pokud je prihlasen a hnedka muze overit, zda prihlasen je, pokud souhlasi i heslo ze session-hash. id zpravy muzes dat take do session, ale na tom nesejde. id_autora zjistis z id_zpravy sql dotazem a porovnat ho vuci id_uzivatele neni problem, ne?

hlasuj.php?id_zpravy=123&hodnoceni=+1
 

Vím, kde sehnat informace o přihlášeném uživateli. Jde mi o to, aby někdo uživateli, který je přihlášený neposlal odkaz, který jsi napsal. Pokud by se tak stalo, tak by autor (pokud by byl přihlášený) dal omylem někomu +1 a ani by o tom nevěděl.

#3 Face
Tak to si snad každý pohlídá ne? ;-)
A co takhle použít POST? Do řádku ho nenapíšeš, protože poté v scriptu taháš data z POST (nikdy netahej z REQUEST!). Poté už ti nikdo do adresy nic nenapíše ;-) Jasně, jde to řešit CCS atd, ale už máš většinu práce za sebou ;-)

Hmm.. Nikdy nevíš na co klikneš.. Pokud máš zkrácenou url, tak nepoznáš, na co klikáš. S těmito url se dost setkávám na sociálních sítích, takže na to opravdu lidé mohou kliknout. To, že si to každý pohlídá, to je jako bych nepoužíval tokeny na formuláře a byl jsem náchylný na CSRF. Pokud bych to řešil přes POST, tak bych musel mít formulář, který by mi data dodával. V příspěvku o tom taky píši, ale nevím, jestli to je správný způsob. Proto se ptám, jestli není nějaký jiný.

#5 Face
Když víš, že jde o CSRF, tak není problém dohledat informace. Ano, POST s tokenem je ideální řešení.

No promiň, že jsem využil fórum. Jen jsem se chtěl poptat na lepší existující řešení.. Asi není. Díky