[問題] post & get

[sing10407 (阿U)]

我想問一下大家是如何設計有關修改或刪除的頁面

以往我個人交作業為求方便是直接

<a href="edit.php?id=123">修改</a>


現在正式的系統用GET這樣做應該很快就被攻擊了

可是POST是否就要做成form 然後把連結變成submit這樣呢?

感覺有點費力

請問大家是如何設計的呢?


--
※ 發信站: 批踢踢實業坊(ptt.cc)
◆ From: 1.168.207.246
推 chph:你寫的是正確的, 編輯某筆資料透過GET丟主鍵過去很常見
如果是稍微懂點網頁的在編輯時改一下GET的主鍵就可以跳到別筆資料
EX.使用者只可以編輯自己的發文
請問要如何防止呢?
還是要再送出時直接在目標頁面確認是否權限相符?
※ 編輯: sing10407       來自: 1.168.207.246        (02/02 14:44)
→ chph:記得拿 id 去查資料庫時處理好 SQL injection 就可以了
→ chph:"使用者只可以編輯自己的發文" 這個程式邏輯當然要自己實作啊
好 謝謝
※ 編輯: sing10407       來自: 1.168.207.246        (02/02 14:46)
→ ssccg:權限控管當然在server端要作，就算是post也一樣要檢查
→ chph:下 SQL 撈文章時也要加上作者是當下登入使用者的篩選
推 LaPass:用post傳我一樣改給妳看.....
→ LaPass:最根本的解決方式，還是要從SERVER端去檢查
推 pm2001:post好處是用ssl會加密 get不會
→ tyf99:就登入綁session啊..
→ kerash:搜尋csrf防範 跟 xss防護