Ha jól hiszem, Kubanka Peter írta az alábbiakat: > >> A $_REQUEST tömb használatát pedig KIFEJEZETTEN nem tanácsolom, > > > > Ez viszont nagyon furcsa nekem, az összes általam olvasott doksiban > > kifejezetten ezt ajánlják. > > Ha a $_REQUEST-et használod, akkor mindegy, hogy az adatot POST vagy > GET módban küldik a formodnak. Tételezzük fel, hogy egy felhasználó > bejelentkezett mondjuk egy webshopba, ami $_REQUEST-et használ. A > formban van egy select, aminek a neve items, és a kiválasztott áru > id-jét adja vissza. > Ebben az esetben a formodnak ellehet küldeni az adatot POST-al, és úgy > is hogy www.valami.hu/webshopform?items=22, és már megis vette az > illető azt a tárgyat. Itt van benne a biztonsági rés, ugyanis ha a > felhasználó bejelentkezett az oldaladra és közben egy másik weblapot > böngész (vagy a te honlapodon megjelenik egy reklám, vagy fórumban egy > kép), ahol egy sima <img src="www.valami.hu/webshopform?items=22"> > bevan illesztve, agyanazt éri el, mintha elküldte volna a felhasználó > a formot, és mind emellé az ő hitelesítési adataival együtt. Remélem > érthető :) a lényeg, hogy request esetén, egy másik oldalról, vagy a > saját oldaladról egy preparált img linkel, olyan dolgokat csinálhatnak > a hitelesített felhasználód nevében, amit ő nem akart.
Nem hiszem, hogy a GET-et ne lehetne (esetleg icipicit macerásabban) hamisítani. > Ezért kifejezetten ellenjavalt a használata, és az olyan írásokat ahol > kiemelik hogy requestet használj, törölni kéne mindörökre... Azért erről adhatnál valami url-t. > És ha már a biztonságnál tartunk, mysqli fügvényeket használj mysql > kapcsolathoz, biztonságosabb (ha valaki kéri elmagyarázom hogy miért) > mint bármi más, és mivel objektum orientáltan is lehet használni, > kényelmes és erőteljes eszköz lehet. Egy weboldalt amúgy is érdemes > objektum orientáltan készíteni, később könyebb változtatni, ha jól van > megírva. > > linkek hozzá: > http://hu2.php.net/mysqli > > itt van jó példa is hozzá > http://hu2.php.net/manual/en/mysqli.prepare.php Köszi, ha lesz időm, megnézem. -- PTG Mother Earth is not flat! Debian 4.0 -- Linux 2.6.22.6 _______________________________________________ Techinfo mailing list [email protected] Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo Illemtan: http://www.1let.hu/illemtan.html Ügyfélszolgálat FAQ: http://www.kozhalo2.hu/Faq.aspx
