Каков наилучший способ внедрения сильных стандартов безопасности для идентификаторов $ _GET?

Question

Я ищу самую сильную меру безопасности для людей, меняющих идентификаторы в URL-адресе для комментариев, блогов, почтовых ящиков и т. Д.

Любые предложения?

Answer 1

Подтверждение данных, которые вы получаете, - отличная идея, если вы ожидаете цифры, убедитесь, что вы получаете цифры.

if(isset($_GET['id']) && ctype_digit($_GET['id'])) 
{ 
    $id = $_GET['id']; 
}else 
{ 
    $id = 0; 
} 

Если беспокойство людей меняется URLs, чтобы видеть вещи, как запрос изображения 44, когда вы только хотели показать им изображение 42 у вас есть несколько вариантов:

• включает в себя различные проверки на чтобы пользователь имел соответствующее разрешение на использование элемента.
• Хеш-пункт в URL-адресе, чтобы сделать вещи неизменяемыми.
• Не используйте последовательные номера, используйте случайные числа или хеши.

Answer 2

Проверьте разрешения сеанса, чтобы проверить, разрешено ли им выполнять действие?

Если им разрешено это сделать, выполните действие. Если нет, то дайте им 403.

Answer 3

Я бы предположил, что цифровое подписание запросов на получение и добавление этого URL будет работать.

Подпишите его с помощью закрытого ключа, известного только вашему приложению, а затем хэш-переменные GET и укажите подпись в файле & sig = blahblahblah.

Это, вероятно, будет работать, но я действительно не понимаю необходимости защиты переменных GET. Если это правильно спроектировано, действительно не имеет значения, что такое переменные GET. Правильно разработанное приложение не должно позволять переменным пользователя GET делать что-либо повреждающее.

Answer 4

Если это просто ID (числовой, я думаю), все, что вам нужно сделать, это проверить его как целое:

$id = (int) $_GET['id']; 

Затем вы можете запросить базы данных. Вы получите пустые наборы возвратов, если идентификатор не существует и когда он недействителен (потому что $id будет 0 в этом случае).

Answer 5

Возможно, вы найдете phpsec.org guide to php security, chapter 2, form processing интересного.

Answer 6

Прежде всего, не полагайтесь на $ _GET для получения важной информации. Всегда проверяйте, имеет ли пользователь разрешение на просмотр этого идентификатора комментария, id блога, что угодно. Что касается фильтрации ID - простой intval() поможет (но не забудьте также обработать 0)