[請益] 如何確保post是安全的

[kencool107 (臉都歪了)]

如題
今天我做的網頁被別人用post攻擊了
上面有關一些金錢的資訊
我接收端有做REFFER的Check
似乎還是不夠
利用Md5+key做驗證碼
可是別人只要開網頁原始碼
複製一模一樣的驗證碼 到我這邊還是會驗證通過
到底要怎麼樣做
才能防止人家寫form來post到我的網站
不可能鎖Client端IP
因為那是讓使用者來請求服務的


--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 60.248.110.133
→ terrybob:為什麼驗證碼可以從網頁原始碼取得？
→ kencool107:不是會hidden在input裡面傳到接收端做驗證嗎
推 mervynW:把你大概流程說一說吧
網頁的內容大概就是使用者會選擇金錢
設定是下拉式選單
然後post到後端扣錢
我發現有使用者自己帶 負數 金錢
這樣 -(-100)就變成 +100
發現後我把負數這個可能性給去掉了
可是我覺得這是治標不治本
人家還是可以自己寫東西post到我的後端
可是我卻擋不住他
※ 編輯: kencool107      來自: 60.248.110.133       (10/01 18:41)
推 davidou:檢查Valve有沒有+-*/阿 有就取代或返回錯誤就好
→ MOONRAKER:這就檢驗再檢驗吧 記得絕對不要把form取出的東西直接放
→ MOONRAKER:到SQL裡 可以用陣列對應 只有對應到的東東才合法
推 LaPass:regexp很好用的
推 alpe:哪來送一個9^30 不知道會發生怎樣的事? XDD
→ alpe:沒法檔, 你只能好好檢查.
推 carlcarl:"不可能" 你就只能好好做過濾
推 rockmanalpha:如果金鏄數值回定的話 以充值卷的形式在資料庫做吧
→ rockmanalpha:以充值卷ID對應資料庫中的金額 而不是直接POST金額
→ kencool107:我了解了  就是不把敏感的資訊輕易地放在html裡面
→ bibo9901:不, 應該是「不輕信client傳來的任何資訊」
→ alog:你的系統運作的可能有瑕疵，你是無法阻止Client端偽造資料的