0

Доброго времени суток, пишу систему комментариев для материалов сайта, состоит она из двух частей, одна генерирует форму добавления комментария, а так же возвращает id запрошенного документа - вот это все отправляется клиенту (и еще делает запрос к БД для вывода комментариев для этого id), вторая на сервере проверяет по возможности адекватность введенных данных и делает запись в таблице БД: текст комментария + мыло + ... и + этот самый id. Дело в том, что POST запрос можно подделать т.е. изменить значение id на стороне клиента, и тогда в результате отправки запись окажется привязанной в лучшем случае к несуществующему материалу, или что еще хуже к существуещему. Прошу совета, у меня некоторые идеи, но меня они не совсем устраивают. Спасибо за внимание.

3 ответа 3

3

В первую очередь при записи в базу стоит таки проверять, существует ли запись.

  1. [level=hurt-me-plently] Делаем хитрую форму, которая отправляется только аяксом и форма сама печатается javascript'ом.
  2. [level=normal] Проверяем $_SERVER['REFERER'].
  3. [level=hardcore] В скрытое поле запиливаем соленый хэш названия записи - sha1(md5('мусор'.$record->title)). Как минимум, придется делать 3 запроса (запросить страницу записи, найти в ней код запроса к форме добавления, получить форму добавления, вытащить хэш, послать спам).
  4. [level=nightmare] На каждой генерации страницы присваиваем форме уникальный ID с записью в базу, при вставке комментария проверяем, есть ли такой ID, удаляем ID. Если нет - баним по IP нафиг). При каждом нажатии submit можно добавлять в форму скрытое поле с хэшем уже ID формы. Соответственно, при несоответствии тоже баним)

На сложности [1+2+3+4] реально проще будет зайти на сайт и писать руками)

2
  • 4 уровень довольно интересен :) Спасибо
    – stck
    28 дек 2011 в 2:23
  • Спасибо, помог.
    – triplustri
    28 дек 2011 в 13:01
1

Форма <?php

    echo "<form action=add_komm.php method=POST>";
    echo "<table><tr><td>Имя</td>";
        echo "<td><input type='text' name='name' required></td></tr>";
        echo "<tr><td>E-mail</td>";
        echo "<td><input type='text' name='mail' required></td></tr>";
        echo "<tr valign='top'><td>Комментарий</td>";
        echo "<td><textarea name='comment' placeholder='Комментарий' maxlength='1000' rows='7' cols='50' required></textarea></td></tr></table>";
        echo "<input type='submit'></form>";

        ?>

Добавление комментария:

  <?php
    $name=$_POST['name'];
    $komm=$_POST['comment'];
    $mail=$_POST['mail'];
    if (!$name||!$komm||!$mail){echo 'Выввели не все данные';}
    else {
       $db = mysql_pconnect('localhost', 'root', '');
        mysql_query('SET NAMES utf8');

        if (!$db)
        {
            echo 'Ошибка соединения с базой данных';
            exit;
        }  
        mysql_select_db('db');
        $day=date("d")+1;
    if($day<10){$day="0".$day;}
        $date_today = $day.date(".m.Y"); 
        $today = date("H:i:s"); 
        $date=$date_today."&nbsp".$today;

        $name=trim($_POST['name']);
        $mail=trim($_POST['mail']);
        $komm=$_POST['comment'];
        $query="insert into komment values(NULL,'".$date."','".$name."','".$mail."','".$komm."')";
        $result = mysql_query($query);

        $query = " select * from komment";
        $result = mysql_query($query);
        $num_results = mysql_num_rows($result);
        $focus=$num_results/10;
        if ($focus>(int)($focus))
        {$focus=(int)($focus)+1;}
        $URL="number_5.php?number=".$focus;
header ("Location: $URL");}
      ?>

В базе данных таблица komment с полями id,date,name,email,komm.

Отображение комментариев по 10 на странице:

<?PHP
        $db = mysql_pconnect('localhost', 'root', '');
        mysql_query('SET NAMES utf8');

    session_start();

        if (!$db)
        {
            echo 'Ошибка соединения с базой данных';
            exit;
        }

        mysql_select_db('kurs');

        $query = " select * from komment";
        $result = mysql_query($query);
        $num_results = mysql_num_rows($result);
        $num=10;
        echo "<div align='right'><a href='add_komm_prom.php'>Добавить запись</a>&nbsp</div>";
        $_SESSION["str"]=10*($_GET['number']-1)+1;
        $_SESSION["end"]=$_SESSION['str']+9;
        if ($num_results<$_SESSION["end"])
        {$_SESSION["end"]=$num_results;}
        $query1 = " select * from komment limit ".($_SESSION['str']-1).",10";
        $result1 = mysql_query($query1);

        if($num_results!=0){
        echo '<table width="100%"><tr><td>';

        echo "Показано<b> ". $_SESSION["str"]." - ".$_SESSION["end"]."</b> из <b>". $num_results."</b> комментариев</td>";

        echo "<td><p align='right'>Страницы: ";
        for ($j=1; $j-1< $num_results/10; $j++)
        {
        echo "<a class='str' href=number_5.php?number=".$j.">".($j)."</a>&nbsp&nbsp";
        }
        echo '</p></td></tr></table>';
        }
        if($num_results==0)
        {echo "Пока не было добавлено ни одного комментария. Вы можете стать первым.<br><a href='add_komm_prom.php'>Добавить запись</a>";}
        for ($i=$_SESSION['str']; $i <=$_SESSION['end']; $i++)
        {
            $row = mysql_fetch_array($result1);
            echo '<p>&nbsp'.($i).'. ';
            echo stripslashes($row['name']);
            echo "   (".stripslashes($row['date']).")<br>";
            echo "&#10003".stripslashes($row['komm']);
            echo "<hr>";
            echo '</p>';
        }

    ?>
0

А можно id документа просто писать в сессию. И при отправке формы брать id из сессии, а не из POST'а. Логично, перед записью в БД надо проверять наличие и доступность документа для пользователя.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.