0

Добрый день. Есть разметка

<div>
<h1>Статья 1</h1>
<form action="#" method="POST">
<button type="submit" name="sandId">Добавить статью</button>
</form>
</div>
<div>
<h1>Статья 2</h1>
<form action="#" method="POST">
<button type="submit" name="sandId">Добавить статью</button>
</form>
</div>

Все данные в разметку выводятся средствами php, вытягиваются из базы. У каждой статьи есть свой уникальный номер. Нужно сделать так чтобы при нажатии на кнопку sandId в файл- обработчик передавался id той записи,к которой прикреплена форма. Пытался сделать так:

 <div>
    <h1>Статья 1</h1>
    <form action="#" method="POST">
<input type="hidden" name="id" value="1"/>
    <button type="submit" name="sandId">Добавить статью</button>
    </form>
    </div>
    <div>
    <h1>Статья 2</h1>
    <form action="#" method="POST">
    <input type="hidden" name="id" value="1"/>
    <button type="submit" name="sandId">Добавить статью</button>
    </form>
    </div>

Но этот вариант мне не подходит, значения скрытых полей, а точнее id статей, берутся из базы, их не должен видеть пользователь. И иметь возможность изменять их прямо в браузере он тоже не должен.

7
  • Прошу прощение, если не очень понятно объяснил. 22 фев 2017 в 20:15
  • 2
    При реализации протоколов безопасности забудьте, что у вас есть страница. От пользователя может прийти любой HTTP запрос.
    – vp_arth
    22 фев 2017 в 20:17
  • вы лучше бы начали с разделения логики и представления (пхп и разметки) в разных файлах, было бы куда проще
    – teran
    22 фев 2017 в 20:19
  • @vp_arth если можно, поподробнее. Мне просто нужно чтобы при клике на кнопку в блоке записи, которых(записей) может быть много. Отправлялся id этой записи, той в которой кнопка) 22 фев 2017 в 20:20
  • @teran хорошо, сейчас попробую отредактировать 22 фев 2017 в 20:21

1 ответ 1

3

Можно написать уравнение, которое бы при генерации страницы с формами вставляла в формы не настоящие данные идентификаторов записей из бд, а какие-то условные строки\цифры. Когда бы данные приходили от пользователя, то же уравнение высчитывало бы всё в обратном порядке. Важно добавить какую-то "соль", которая бы точно гарантировала, что расшифрованные данные относятся к какой-либо записи. Например, дату создания записи в БД. Но проще использовать шифрование. Или использовать логику хеширования паролей (проще всего).

Например, берём из базы идентификатор записи и дату-время создания этой записи (в качестве "соли"). Соединяем их вместе, приводим, например, к виду 174_2017-23-02_23-00 (лучше всего ИД записи писать не ожидаемо в начале, а где-нибудь в другом месте - между датой и временем. Пользователи ведь не знают, что и как вы тут крутите).

Дальше используем password_hash() (документация). Получаем хэш вида $2y$10$3KYZHiFhKHNB7.yJUGXJf.zR6Z8uc4.pdPsKbTTMDoApsp8CBY5qe, который используем для вывода пользователю в скрытое поле.

При получении данных от пользователя сверяемся с тем, что получили, с тем, что должно быть. Например, с помощью password_verify() (документация)

Если пользователь захочет что-то подправить у себя на странице, то он не сможет узнать что это за данные и не удастся ему ничего сделать. Смысл, надеюсь, ясен.

4
  • По поводу хеширования - если на странице 30 таких кнопок - нужно будет посчитать 30 хешей, чтобы выяснить. Т.е. в любом случае - на сервере есть некий белый список, с чем сравнивать. Но если нет разницы, зачем платить больше? С шифрованием другая история, в принципе такой сценарий возможен. Но, все поля не зашифруешь - пользователю и поредактировать что-нибудь дать надо)
    – vp_arth
    23 фев 2017 в 3:44
  • Огромное спасибо, буду копать в этом направлении. Я правильно понимаю, что если у меня в базе 30 таких записей, то мне нужно будет вытянуть их все, а потом перебирая и шифруя данные каждой из них сравнивать их при помощи password_verify() с тем, что пришло от пользователя? Это не критично в плане эффективности? Чисто теоретически я думаю что таких записей и 30 скорее всего не наберется) 23 фев 2017 в 3:58
  • Хотя можно же попробовать добавить ещё одно поле с датой добавления в таблицу БД, которое будет хэшировано. А передавать хэш даты добавления + хэш секретного слова, к примеру, конкатенируя эти хэши. Ну а после просто распарсить полученную строку. И искать напрямую в БД по полю. 23 фев 2017 в 5:08
  • Ну, примерно всё так, да. Пробуйте, экспериментируйте. Обычное хеширование - это относительно быстро. Суть уловили, а дальше - практика. Успехов.
    – n.osennij
    23 фев 2017 в 9:40

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.