UR1内のPHP/MySQL暗号化ID

Question

私は初心者ですが、私はCRUDシステムを構築しましたが、それはまったく安全ではありません。編集ページにはURLにID番号があり、ユーザは単純にデータベースの他のレコードにアクセスするためにIDをランダムに入力することができます。

http://example.com/example_edit.php?id=2

<?php 

include_once("connection.php"); 


$result = mysqli_query($mysqli, "SELECT * FROM mkregistrationchecklists WHERE login_id=".$_SESSION['id']." ORDER BY id DESC"); 
?> 

<tbody> 
<?php 
while($res = mysqli_fetch_array($result)) {   

    echo "<tr>"; 
    echo "<td>".$res['id']."</td>"; 
    echo "<td><span class='label ".$res['labelwarning']."'>".$res['status']."</span></td>"; 
    echo "<td>".$res['todaysdatetime']."</td>"; 
    echo "<td>".$res['tag']."</td>"; 
    echo "<td>".$res['serialnumber']."</td>"; 
    echo "<td>".$res['currentequipment']."</td>"; 
    echo "<td>".$res['company']."</td>"; 

    if ($res['status'] == "Submitted") { 
    echo "<td><a href='page_read.php?id=$res[id]' class='btn btn-default glyphicon glyphicon-eye-open'></a></td>"; 
} else{ 
    echo "<td><a href=\"page_edit.php?id=$res[id]\" class='btn btn-default fa fa-pencil-square'></a> | <a href=\"page_delete.php?id=$res[id]\" class='btn btn-danger fa fa-trash' onClick=\"return confirm('Are you sure you want to delete?')\"></a></td>"; 
} 

    echo "</tr>"; 



} 
?> 
</tbody> 

これを確保する上で最善のアプローチは何ですか？

このように暗号化する必要がありますか？

$secure_id = $_GET['id']; 
$decryped_id = base64_decode($secure_id); 

私はlogin_idに従ってレコードを保存していますが、それでもURLのidタグでは専門家ではないように見えます。

Answer 1

あなたは一般的に、すべてのSQLクエリにユーザー/レコード所有者固有の識別を追加する必要があります。

$query = "SELECT * FROM table WHERE id = 1 AND user_id = 2"; 

このアプローチでは、ユーザーのアクセスが唯一の彼のレコードのことを確認することができます。ログインしたユーザーのIDはSESSIONのどこかに置くことができます。

IDの非表示やハッシングは推奨されていません。アンチパターンであり、security through obscurityです。