ochrana $_POST

Podla mna celkom rozumny sposob (neviem ci ho myslel tak aj miso250593)

Po prihlaseni uzivatela zapises do databaze nieco - nejaky hash alebo nahodne cislo, ktore bude platit pre toho usera pre to konkretne prihlasenie..

A potom v kazdom formulari ho pouzijes a overis, ci sedi..

Ale ak citam spravne, to myslel asi aj miso

ale potom by sa malo meniť nie, ked user odošle formular, ja som to myslel inak, pre každý formulár vygenerovať dve veci ID a čislo a uložiť do DB
a potom už len porovnavat či tieto zadané veci patria k sebe, a po odoslaní to samozrejme zmazať

podla mna staci zmenit po prihlaseni. Naco viac krat? Aku by to malo vyhodu ?

a utočnik si to zistiť nedokáže?

A ako ?
Teraz si predstav, ze po prihlaseni na tuto stranku sa mi vygeneroval hash - pre mna jedinecny.. Odosielam tuto spravu a v tomto formulari je hidden input s tym hashom, ktorym sa to overuje..

Ty si utocnik - zisti ten hash !

Naco generovat stale novy, ked uplne staci iba po prihlaseni? Alebo napriklad 1 denne

Identifikacia uzivatela z pohladu servera je postavena na session_id. To sa posiela s kazdym requestom a podla neho server vie s kym ma tu cest.

Kedze sa toto id da ukradnut, tak sa pouzivaju doplujuce metody (kontrola dvojice session_id + ip, pripadne aj dalsie veci ako napr browser). Pri odosielani formularov sa pouziva vygenerovane id, tzv token. Toje asi to o com hovorite vy. Ten ale nema velky vyznam ukladat do databazy, lebo ma platnost maximalne pre jedno prihlasenie (pripadne pre jeden request ako navrhuje miso). Staci houkladat do session na servery a netreba zatazovat databazu

Session na serveri? To je co?

Ja by som to ukladal normalne k uzivatelovi.. Aj tak zakazdym nacitavam z DB riadok s uzivatelom, kde ma vsetky udaje.. A jeden stlpec plus minus, to nie je zataz...

miso250593
Dokaze, napriklad utokom XSS. Proti tomu sa ale zabezpecit snad dokazes.

GoodWillova poznamka je spravna, ukladat do session je praktickejsie.

Ty si hodil perlu Však session sa ti ukladá a vedie iba na serveri a tebe sa iba posiela identifikátor

Tak potom som asi za debila, lebo viem co je session, ale co mi pomoze ked ten hash bude v session ??

Ja nosim teraz ten hash v session, idem na utocnikovu stranku ktora ma formular ktory sa posiela na stranku, ktoru chce napadnut.. formular sa odosle a ide na tu stranku.. Na tej stranke mam ale svoj hash v session a tym padom vsetko prebehne ako chcel utocnik..

Ale kebyze ten hash nie je v session, ale vo formulari a pre kazdeho uzivatela je jedinecny a meni sa, tak utocnik nedokaze vytvorit formular s tym hashom, pretoze ho nevie..

Premenna zo session sa vypise do formulara. Aj ked o malo, je to menej narocne ako uchovavat data v tabulke a raz za cas este pouzit jednu update query navyse.

Jaj tak.. Tak to sa da Ale ci uz session alebo 1 select.. Ale je to optimalizovanejsie

Naviažem na pôvodný dotaz a odporučím naštudovať články venujúce sa tejto problematike:

http://phpfashion.com/escapovani-definitivni-prirucka
http://php.vrana.cz/obrana-proti-sql-injection.php
http://php.vrana.cz/bezpecne-prihlasovani-uzivatelu.php
http://php.vrana.cz/escapovani.php
… http://php.vrana.cz/