为$ _GET id实施强大安全标准的最佳方法是什么？

Question

我正在寻求最强大的安全措施,以便人们更改评论,博客,收件箱等URL中的ID ...

有什么建议？

Answer 1

检查会话权限以查看是否允许他们执行操作？

如果他们被允许这样做,那么就执行行动.如果没有,那就给他们403.

Answer 2

验证您获得的数据是一个好主意,如果您期望数字,请确保您获得数字.

if(isset($_GET['id']) && ctype_digit($_GET['id']))
{
  $id = $_GET['id'];
}else
{
  $id = 0;
}

如果您关注的是人们更改网址以查看内容,例如当您只想向他们展示图片时请求图片44,您可以选择以下几种方式:

• 在页面上包含各种检查以确保用户具有使用该项目的适当权限.
• 散列网址中的项目以使项目不可变.
• 不要使用序号,使用随机数或哈希值.