Передающие переменные не являются декодированием

Question

Привет, я пытаюсь понять, как защитить передаваемые переменные в url (я знаю, что get не самый безопасный, но это для теста) Я пытаюсь остановить скрипт если URL-адрес был изменен, проверив идентификатор на хеш-файл md5, но он продолжает говорить, что он не работает, я попробовал кучу разных вариантов, но продолжаю царапать голову, это код, который у меня есть на первой странице что хватает на вход URL-адрес

// this goes to main.php 
while ($row = mysqli_fetch_array($data)) { 
$variable = $row['case_id']; 
$salt = 'foo'; 
$hash = md5($salt.$variable); 

Это код на второй странице, которая идет, чтобы получить URL-адрес инфо-

// this goes to case.php 

$variable = $_REQUEST['case_id']; 
$salt = 'foo'; 
$hash = md5($salt.$variable); 
if($hash == $_REQUEST['case_id']){ 
echo 'success...pass the hash'; 
}else{ 
echo 'womp womp'; 
} 

Это все выглядит так правильно, но все же дайте мне утробу womp, какого черта я не вижу?

Answer 1

Сценарии, подобные тому, который вы пытаетесь воссоздать, предполагают, что хешированная версия токена хранится где-то внутри. Попробуйте сохранить хешированную версию в сеансе или что-то в этом роде.

$variable = $row['case_id']; 
$salt = 'foo'; 
$_SESSION['hash'] = md5($salt.$variable); 

А потом ...

$variable = $_REQUEST['case_id']; 
$salt = 'foo'; 
if ($_SESSION['hash'] == md5($salt.$variable)) { 
    echo "Made it!"; 
} 

Answer 2

использование $_REQUEST['case_id'] для ввода, вывода (проверка) !? это всегда ложно.

$variable = $_REQUEST['case_id']; 
$salt = 'foo'; 
$hash = md5($salt.$variable); 
if($hash == $_REQUEST['hash']){ 
echo 'success...pass the hash'; 
}else{ 
echo 'womp womp'; 
} 

использование Java-скрипт для хэширования в стороне клиента

//just include md5.js from the CryptoJS rollups folder 
var hash = CryptoJS.MD5("foo"+$('#case_id').val()); 
$('#hash').val(hash);