Question

私はCodeIgniterでtodoリストを作成しています。

この方法では、現在ログインしているユーザーが作成したすべてのリストを取得できます。 I以下

<?php 
     $this->db->from('lists'); 
     $current_user = $this->session->userdata('email'); 
     $st="list_by='".$current_user."'"; 
     $this->db->where($st, NULL, FALSE); 
     $q = $this->db->get(); 

     foreach ($q->result() as $key => $row) { 
      echo "<li>" . $row->listTitle; 
     } 
?> 

この削除ボタンを持っている：私の質問は、私はid="<? $row->id;?>を追加した場合、ユーザーは自分が作成しただけのリストを削除できるようにする方法、である

<a class="delete_button" onclick="return confirm('Delete list?');" href="<?php echo site_url('lists/list_delete');?>" ><i class="icon-cancel"></i></a> 

、私はブラウザでコードを調べることができますidを別の値に変更し、他の誰かからリストを削除します。

これを保護する最善の方法は何ですか？

Answer 1

あなたは、クライアント側のフォームを操作からユーザーを停止することはできません。サーバー側で検証を行う必要があります。たとえば、コントローラのListsにあります。

まずは、URLに、リストのIDを追加してみましょう、そうリンクは次のようになります。コントローラで

<a class="delete_button" onclick="return confirm('Delete list?');" href="<?php echo site_url("lists/list_delete/{$row->id}");?>" ><i class="icon-cancel"></i></a> 

：

class Lists extends CI_Controller { 

    public function list_delete($list_id) { 
     // 1. Check if the list found by $list_id belongs to the logged-in user 
     // 2. If it is, delete the list 
     // 3. If it's not, throw an exception, or redirect back with an error 
    } 
} 

Answer 2

あなたのリストのuser_idと比較して、あなたのリストからuser_idを比較する必要があります。また、CSRF保護を使用することをお勧めします。セッションのuser_idと他の値で暗号化された鍵を作成し、サーバーへの各要求の値を入力し、サーバーでキーを解読し、そのキーのデータがセッション中のユーザーのデータに対応するかどうかを確認します。

それとも、CodeIgniterのにCSRFの保護を有効にすることができます。

https://www.codeigniter.com/userguide3/libraries/security.html

Answer 3

ユーザーができるかどうかを確認するための唯一の信頼できる方法リストを削除する - 現在のユーザがそのようなIDを持つリストの所有者である場合、サーバをチェックしてください。

サーバにリストIDを渡す方法について：このアプローチについて 悪いことがある最も単純メソッドは、削除URLにIDがリストのID（例：/lists/list_delete/21）である/lists/list_delete/IDのようなものを作成することです

• 単純な$_GETリクエストを使用すると、悪意のある人が削除URLを作成するのは非常に簡単です。

• だからこそ、このような種類のリクエストに対してのみ、より深く、$_POSTリクエストを使用する必要があります。このアプローチを使用しますが、各リストのための小さなフォームを作成し、サーバー上のPOSTリクエストを処理することができます。

  <form action="/lists/list_delete"> 
      <input type="hidden" name="list_id" value="LIST ID HERE" /> 
      <input type="submit" name="delete" value="DElete this list" /> 
  </form> 
  

  この場合であっても、あなたがCSRFを回避し、トークンを使用するようにしてください。すでに述べたように - さらに行くhttps://www.codeigniter.com/userguide3/libraries/security.html#cross-site-request-forgery-csrf

このURLを確認 -