bezpecny prenos parametra

Chcem vyriesit takuto situaciu:

mam textovu hru, kde budu 2-3 moznosti na kliknutie pre uzivatela.

Napr.
1) Pojdes na sever
2) Pojdes na juh

Po kliknuti na 1. moznost by to malo vyzerat ako spracuj.php?akcia=5, 2.moznost napr. spracuj.php?akcia=10. Cize ten parameter urci, co sa ma po kliknuti zobrazit.

Takto keby som to dal s parametrom v URL, hocikto si to prepise. Tiez ak by som dal pomocou onclick, alebo ajaxovym callom, tam to tiez vedia prepisat firebugom alebo v konzole atd. Napr. spracuj(5);

Ako teda posunut premennu aby to nebolo take lahke zmenit (cheatovat)?

Údaje, ktoré prídu od klienta, môžu byť vždy zmanipulované a nijako sa tomu nedá vyhnúť.

V tomto prípade server vie, kam môže ísť používateľ, takže server si overí, či používateľ išiel tam, kam mu to dovoľovala aktuálna situácia. Dôležité je, aby klient robil len to, čo mu povie server (a teda napr. ak sa má vygenerovať náhodné číslo, tak ho vygeneruje a použije server).

Jednoducho, musíš aj na strane servera urobiť kontrolu, či je daná akcia pre daného užívateľa povolená alebo nie. Musíš defaultne počítať s tým, že tie hodnoty pochádzajúce od užívateľa boli upravené a robiť vždy kontrolu. To platí celkovo pre webové aplikácie, nielen hry.

encrypt/decrypt? a mozes to mat aj v url. ?akcia=65d16sf1a6e2r6rf1ds6 si asi nikto nedomysli alebo sa nepokusi to prepisat....
miesto get pouzit post s hidden inputmi, aj ked tak ako tak si to lahko precita v kode, ak sa vyzna...

void, čo by to riešilo? tak či tak potrebuješ server-side kontrolu

Pravda, rozmyslal som relativne k poziadavke.

som to vyriesil ajaxom tak, ze kazda moznost po kliknuti posiela len cislo 1,2 alebo 3. A potom to v php kontrolujem ci bolo poslane 1,2 alebo 3 a zaroven potom to porovnam v dtb, ci to sedi s ID.

Cize uzivatel nema co prepisat... moze akurat prepisat cislo 1 2 3 na xx, ale potom sa neudeje nic...