GET a ID

ako sa proti tomuto zabezpečiť? mám script ktorý odkazuje na subor.php?id=82 napr. a to vymaže prispevok s daným ID...
no to je ale trocha problém, lebo niekto moze do adresy napisat subor.php?id=82 a zmaže to...i ked toto je len v administracii ale v statusbare sa ta adresa objavi a tak:( no skusal som nahradit GET, POSTom ale to uz potom nefunguje. ako sa riesi toto?

staci ten skript osetrit tak, ze to moze urobit iba admin:

hm diky za napad! tvoj kod asi nie je zly, ale pouzil som vlastny podla ktoreho ma usposobeny cely script
uz to ide dobre...

Ale pozor, to situáciu úplne nerieši. Tomuto útoku sa hovorí CSRF: Cross-Site Request Forgery. Niekto ťa prinúti ísť na nejakú stránku a na nej bude napr kód:

Ak budeš zároveň prihlásený, tak sa ten skript spustí a súbor sa vymaže.

Obrana proti tomuto typu útokov je zložitejšia. Útočníkovi to môžeš sťažiť ak budeš na mazanie používať výlučne POST metódu. Ani to však nie je 100% ochrana. Tou sú špeciálne tokeny.

Princíp tokenov funguje takto: keď si dáš zobraziť nejakú stránku na ktorej je tlačidlo "Vymazať", vygeneruješ špeciálny token (nejaký reťazec, zakaždým iný!). Tento token si uložíš (najlepšie asi do databázy) a zároveň ho zahrnieš ako tajné formulárové pole . Keď niekto niekedy stlačí tlačidlo "Vymazať", s idčkom článku na vymazanie sa zároveň odošle token. Pri spracúvaní požiadavku sa pozrieš, či je niekde v databázi tento token. Ak je, požiadavka určite odišla z tvojej administrácie a môžeš token zneplatniť a článok vymazať. Inak sa článok nevymaže (a môžeš napr. zobraziť chybovú hlášku).

Je veľmi dôležité, aby sa tokeny vždy použili iba raz a aby sa neopakovali. Potom si tiež treba napísať údržbový skript, ktorý raz za čas vymaže staré nepoužité tokeny.

Ja to riešim tak, že mám v každom súbore na začiatku overenie, či je v administrácií, a tam som len ak sa nachádzam v priečinku administrácie a ak som prihlásený ako admin, a aj keď sa niekomu podarí to vymazať tak len zmením jednu hodnotu v databáze a je to späť, také riešenie by nestačilo? Inak p360t trochu som nepochopil tvojím tokenom veď ten token tam bude či je admin alebo nieje, nie?

Drako: pokiaľ to chceš riešiť cez GET tak sa budeš pýtať na existenciu tokenu a pokiaľ neexistuje tak si na stránke predtým nebol ...

Nie, tie tokeny sú o tom, že len ten človek, ktorý naozaj navštívil administráciu má k dispozícii (práve jeden) aktívny token. CSRF sa robí tak, že adminovi podstrčíš nejakú URL, ktorá mení obsah stránky, ale keď nevieš hodnotu aktívneho tokenu, nemáš mu ako podstrčiť škodlivú URL. Samozrejme, neochráni ťa to, keď už útočník sám získa prístup do administrácie, ale vtedy si aj tak môže viac-menej robiť čo sa mu zachce.