保持數據更新安全

Question

我見過很多網站（包括SO和我的網站），用於將從數據庫中提取的數據的行ID存儲在HTML屬性中。我知道它可以由客戶端的用戶編輯，並可能發送到服務器端以根據更新數據。就拿這個查詢爲例，記住，它是upvoting評論：

SELECT comment_id, comment FROM comments

一個正常的人會做這種印刷：

<td data-commentid="<?php echo $row['comment_id']; ?>"><?php echo $row['comment']; ?></td>

和輸出：

<td data-commentid="1">+1, beat me to it.</td> 
<td data-commentid="2">Damn! What is this?</td> 
... 

當它顯示給一些黑客類型的用戶時，他會嘗試用類似的東西來編輯紀念日250，點擊則給予好評按鈕，我們無辜的腳本將接受它，並給予好評其它評論ID爲250，雖然它是用肉眼ID爲1或2

問題評論：

有什麼辦法擺脫這個？你可以打開你的控制檯並檢查SO，當你改變它的屬性引用來評論重要信息時，它似乎用更新屬性的ID更新數據庫。

Answer 1

這實際上並不是一次攻擊。

執行「破解」和實際查看註釋＃250並將其加上之間沒有區別。

如果用戶將ID或操作更改爲他不允許執行的操作，則必須使用服務器端授權/訪問控制來拒絕該請求。

總之：

永遠不要相信客戶提供的任何信息。

總是驗證輸入是否有意義，並允許用戶採取措施。