0

Для некоторых AJAX-запросов на странице используются data-атрибуты, записанные в теги кнопок, вызывающих эти запросы. Например, для реализации возможности добавлять репутацию пользователю на сайте, кнопка "Мне нравится" выглядит следующим образом:

<span class = "CLASS" data-like = "1">Мне нравится</span>

То есть, атрибут data-like отвечает за то, сколько баллов репутации будет добавлено пользователю, создавшему материал. Пользователи различных групп видят разные кнопки, вследствие чего могут совершенно по-разному влиять на эту репутацию.

При вызове AJAX-запроса просто берется значение data-like и передается в PHP-скрипт. Проблема в том, что, поменяв значение атрибута в коде страницы, пользователь может добавить себе любое количество репутации.

Как обычно решаются подобные задачи?

1
  • 2
    Считайте, что пользователь знает весь ваш API и планируйте его соответственно.
    – user181100
    12 сен 2015 в 21:29

2 ответа 2

2

Очень просто - все поступающие на сервер данные (не важно, от пользователя или стороннего API), должны проверятся на допустимость.

В данном случае, надо проверять, достаточно ли у пользователя возможностей для выполнения данного действия.

1

Обычно такие задачи лучше и правильно решать на серверной стороне.

Сценарий следующий:

  • Данные вроде data-like = "XXX" создаются и хранятся на сервере, на клиент обычно не передаются или передаются исключительно в информативных целях.
  • На стороне клиента происходит событие.
  • Отправляем AJAX-запрос только с теми данными на которые должен влиять пользователь.
  • При обработке запроса на сервере используем ранее сохраненное значение data-like.
4
  • Ну, допустим, параметры типа data-like я унесу в PHP-скрипт, вызываемый через AJAX. Так? Но на сайте много разных кнопок, в том числе, среди них есть и кнопки бана пользователя администратором, реализуемые через такой же механизм. То есть, получается, что кнопка в коде страницы, все же, должна иметь какой-то параметр data-type, отвечающий за ее тип, даже если все остальные будут перемещены в PHP-скрипт. Заменив этот параметр с like на ban, например, пользователь сможет забанить другого пользователя. А если этого параметра нет - как скрипт узнает, какие действия ему выполнять?
    – nup
    12 сен 2015 в 20:12
  • Серверная сторона обязана контролировать возможность осуществлять действия каждым пользователем. Вам стоит ознакомиться с Access Control List. Даже если пользователь подменит данные, а он это обязательно сделает, или угадает супер секретный запрос на сервер - сервер все равно не допустит выполнение функционала, который не разрешен этому пользователю.
    – sba
    12 сен 2015 в 20:36
  • Есть еще некоторая проблема. Будучи связанным некоторыми ограничениями в той системе, которую использую, некоторые вопросы решаю обходными путями. Один из таких путей - сохраненный в коде шаблона div с данными о текущем пользователе - ID, имя и некоторые другие данные. К этому объекту обращаюсь из JavaScript для получения, например, ID пользователя - очень важной информации в некоторых случаях. Эти же данные отправляются и на сервер. Вроде, не я один так поступаю, и других путей решения этой проблемы пока не вижу.
    – nup
    12 сен 2015 в 21:04
  • То есть, я могу перенести на сервер все дополнительные данные типа количества баллов за нажатие на кнопку "Мне нравится" и даже ID текущего пользователя, немного потрудившись, я могу узнать на сервере. Но есть данные, которые там так просто не узнаешь - например, ID материала, которому ставится отметка "Мне нравится" - эти данные должны передаваться на сервер со стороны...
    – nup
    12 сен 2015 в 21:04

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.