Web Apps: Stocker l'identifiant dans des champs cachés en toute sécurité?

Question

J'ai juste eu cette pensée, je ne sais pas si je suis lent cependant.

Habituellement, je stocke l'ID de l'élément que je suis en train d'éditer dans un champ caché. Ensuite, dans backend (j'utilise PHP/Zend Framework btw), je l'obtiens pour déterminer quel élément est édité. Mais alors j'ai pensé, dans quelque chose de plus sûr, par exemple. modifier le profil, l'utilisateur peut en quelque sorte éditer un champ caché droit? Ensuite, il peut modifier le profil de quelqu'un d'autre. Je sais pour le profil d'édition, je peux obtenir l'id forme la variable de session, mais que se passe-t-il si j'ai quelque chose qui m'oblige à stocker l'identification quelque part?

J'ai ACL (Zend_Acl) Je fais cela. En fait saisir l'identifiant de la demande params

$id = $req->getParam('id'); 

puis vérifier si l'utilisateur connecté est autorisé à modifier l'élément. Mais la chose est je me demande si l'URL est quelque chose comme /users/edit/1 où 1 est l'ID. Mais d'une manière ou d'une autre, le champ caché est changé en 2, quel sera le paramètre de requête?

Comment gérez-vous cela?

Answer 1

Vous devez stocker une sorte d'identifiant sur le client. Sinon, comment sauriez-vous quel élément modifier?
Cela ne vous libère pas de la obligatoire vérifier sur le serveur que l'utilisateur actuel a des privilèges pour modifier/voir l'élément édité.
Autre que cela, pourquoi voudriez-vous comment il a pu éditer l'élément (que ce soit par l'utilisation légitime de l'outil web, ou en éditant le champ caché/quel que soit).

Answer 2

L'enregistrement d'ID dans une valeur masquée n'est pas très sûr. Généralement, nous stockons l'ID dans la variable de session.

Answer 3

Il ne doit pas être basé sur quelque chose soumis par l'utilisateur. Vous devez toujours vérifier les autorisations utilisateur côté serveur. Un attaquant peut préparer n'importe quelle requête sur votre serveur.

Answer 4

comme dit ppshein, stocker des identifiants sensibles dans un var caché n'est PAS sûr. Voulez-vous stocker un mot de passe dans un var caché? C'est vraiment facile, même pour un hacker débutant, d'obtenir ces données.

Vous devez vous assurer que tous les contrôles d'accès sont appliqués par le serveur. Dans votre cas, vous devez vous assurer que l'utilisateur connecté (celui de la session) est le propriétaire du profil en cours de modification. Ou que l'utilisateur qui effectue les modifications a les permissions pour éditer ce profil (par exemple est un administrateur)

Answer 5

D'accord avec tous les points ci-dessus, mais si vous avez vraiment besoin de stocker quelque chose clientide pour une raison quelconque, vous pouvez toujours crypter le données et décrypter lorsque vous avez besoin de l'utiliser, mais encore une fois, l'utilisation de sessions serait le meilleur moyen de traiter avec eux car ils ne sont pas accessibles côté client.