用戶可以通過URL觸發javascript：function？

我有一個函數調用javascript：del_release_comment（10,12）;從該頁面，如果用戶有特定的評論。用戶可以通過URL觸發javascript：function？

我想知道其他用戶是否可以從網址欄觸發或以某種方式觸發此功能來刪除不是他們的註釋。

10是news_id，12是comment_news_id，該特定新聞的評論的ID。

刪除是通過AJAX調用一個PHP腳本來完成的，它刪除了這兩個參數。如果可以手動調用javascript函數，我必須重新執行刪除註釋的小PHP腳本。另外，是否可以通過URL中的名稱直接調用特定的PHP腳本？它使用_POST變量，而不是GET。

謝謝。刪除評論

代碼：

$query_del_comment = "DELETE from myl_news_comments WHERE comment_id='".mysql_real_escape_string($_POST['comment_news_id'])."' AND news_id='".mysql_real_escape_string($_POST['news_id'])."'"; 
$result_del_comment = mysql_query($query_del_comment) or die('Query failed: ' . mysql_error());

來源

2012-06-10 Adrian Tanase

請添加一些服務器端代碼，如您正在處理刪除請求的服務器端代碼。 –

請停止使用古代mysql_ *函數編寫新代碼。他們不再保持和社區已經開始了[棄用過程（http://news.php.net/php.internals/53799）。相反，您應該瞭解準備好的語句並使用[PDO]（http://php.net/pdo）或[MySQLi]（http://php.net/mysqli）。如果你關心學習，[這裏是一個很好的PDO相關教程]（http://wiki.hashphp.org/PDO_Tutorial_for_MySQL_Developers）。 – DCoder

客戶可以執行他們喜歡使用多種技術（包括調用JavaScript函數，或手動構建它）的任何HTTP請求。

您必須在服務器上執行身份驗證/授權以確保刪除某些內容的請求來自授權刪除某些內容的人。

來源

2012-06-10 10:52:35 Quentin

謝謝......我正在重新強制執行我的小AJAX php外部例程，以便只在_SESSION var對應於當前登錄的人員時才刪除。這是完全安全的。 –

我也打算爲我的門戶切換到PDO風格，需要更多地瞭解它並閱讀更多文檔，看起來很直觀，並且我將在接下來的2個月內將所有門戶全部轉換爲mysql_ *查詢PDO ....只是爲了跟上開發進程並避免任何可能的SQL注入。這將是一個艱難的，但它彌補了它的安全性。 –

用戶可以通過URL觸發javascript：function？

回答

相關問題