使用$ _SESSION數據提交表單 - 更安全/更正確的方法？

Question

我目前有一個表單，它有一個隱藏的表單域，根據用戶會話中的一個變量填充。當提交表單時會調用一個函數，該表單處理表單，並且這個隱藏變量對它非常重要。

做這樣的事情還是直接在函數中調用會話變量會更好？（所以從調用函數的人的會話中拉出變量 - 也就是提交表單）？或者，這是完全一樣的......？

我想在應用程序安全方面考慮這裏。

感謝

Answer 1

變量存儲服務器端，因此服務器將有會議被告知給他們。只要你沒有請求這些信息，它在服務器上就是安全的。

Answer 2

它更好地直接使用會話變量，因爲它限制了攻擊者修改變量的可能性。 除非當然這是一個CSRF令牌。它通常將一個隨機值存儲爲$_SESSION變量，然後將其與隱藏表單字段進行比較。