Доброго времени суток, пишу систему комментариев для материалов сайта, состоит она из двух частей, одна генерирует форму добавления комментария, а так же возвращает id запрошенного документа - вот это все отправляется клиенту (и еще делает запрос к БД для вывода комментариев для этого id), вторая на сервере проверяет по возможности адекватность введенных данных и делает запись в таблице БД: текст комментария + мыло + ... и + этот самый id. Дело в том, что POST запрос можно подделать т.е. изменить значение id на стороне клиента, и тогда в результате отправки запись окажется привязанной в лучшем случае к несуществующему материалу, или что еще хуже к существуещему. Прошу совета, у меня некоторые идеи, но меня они не совсем устраивают. Спасибо за внимание.
3 ответа
В первую очередь при записи в базу стоит таки проверять, существует ли запись.
[level=hurt-me-plently]
Делаем хитрую форму, которая отправляется только аяксом и форма сама печатается javascript'ом.[level=normal]
Проверяем$_SERVER['REFERER']
.[level=hardcore]
В скрытое поле запиливаем соленый хэш названия записи -sha1(md5('мусор'.$record->title))
. Как минимум, придется делать 3 запроса (запросить страницу записи, найти в ней код запроса к форме добавления, получить форму добавления, вытащить хэш, послать спам).[level=nightmare]
На каждой генерации страницы присваиваем форме уникальный ID с записью в базу, при вставке комментария проверяем, есть ли такой ID, удаляем ID. Если нет - баним по IP нафиг). При каждом нажатииsubmit
можно добавлять в форму скрытое поле с хэшем уже ID формы. Соответственно, при несоответствии тоже баним)
На сложности [1+2+3+4]
реально проще будет зайти на сайт и писать руками)
Форма <?php
echo "<form action=add_komm.php method=POST>";
echo "<table><tr><td>Имя</td>";
echo "<td><input type='text' name='name' required></td></tr>";
echo "<tr><td>E-mail</td>";
echo "<td><input type='text' name='mail' required></td></tr>";
echo "<tr valign='top'><td>Комментарий</td>";
echo "<td><textarea name='comment' placeholder='Комментарий' maxlength='1000' rows='7' cols='50' required></textarea></td></tr></table>";
echo "<input type='submit'></form>";
?>
Добавление комментария:
<?php
$name=$_POST['name'];
$komm=$_POST['comment'];
$mail=$_POST['mail'];
if (!$name||!$komm||!$mail){echo 'Выввели не все данные';}
else {
$db = mysql_pconnect('localhost', 'root', '');
mysql_query('SET NAMES utf8');
if (!$db)
{
echo 'Ошибка соединения с базой данных';
exit;
}
mysql_select_db('db');
$day=date("d")+1;
if($day<10){$day="0".$day;}
$date_today = $day.date(".m.Y");
$today = date("H:i:s");
$date=$date_today." ".$today;
$name=trim($_POST['name']);
$mail=trim($_POST['mail']);
$komm=$_POST['comment'];
$query="insert into komment values(NULL,'".$date."','".$name."','".$mail."','".$komm."')";
$result = mysql_query($query);
$query = " select * from komment";
$result = mysql_query($query);
$num_results = mysql_num_rows($result);
$focus=$num_results/10;
if ($focus>(int)($focus))
{$focus=(int)($focus)+1;}
$URL="number_5.php?number=".$focus;
header ("Location: $URL");}
?>
В базе данных таблица komment с полями id,date,name,email,komm.
Отображение комментариев по 10 на странице:
<?PHP
$db = mysql_pconnect('localhost', 'root', '');
mysql_query('SET NAMES utf8');
session_start();
if (!$db)
{
echo 'Ошибка соединения с базой данных';
exit;
}
mysql_select_db('kurs');
$query = " select * from komment";
$result = mysql_query($query);
$num_results = mysql_num_rows($result);
$num=10;
echo "<div align='right'><a href='add_komm_prom.php'>Добавить запись</a> </div>";
$_SESSION["str"]=10*($_GET['number']-1)+1;
$_SESSION["end"]=$_SESSION['str']+9;
if ($num_results<$_SESSION["end"])
{$_SESSION["end"]=$num_results;}
$query1 = " select * from komment limit ".($_SESSION['str']-1).",10";
$result1 = mysql_query($query1);
if($num_results!=0){
echo '<table width="100%"><tr><td>';
echo "Показано<b> ". $_SESSION["str"]." - ".$_SESSION["end"]."</b> из <b>". $num_results."</b> комментариев</td>";
echo "<td><p align='right'>Страницы: ";
for ($j=1; $j-1< $num_results/10; $j++)
{
echo "<a class='str' href=number_5.php?number=".$j.">".($j)."</a>  ";
}
echo '</p></td></tr></table>';
}
if($num_results==0)
{echo "Пока не было добавлено ни одного комментария. Вы можете стать первым.<br><a href='add_komm_prom.php'>Добавить запись</a>";}
for ($i=$_SESSION['str']; $i <=$_SESSION['end']; $i++)
{
$row = mysql_fetch_array($result1);
echo '<p> '.($i).'. ';
echo stripslashes($row['name']);
echo " (".stripslashes($row['date']).")<br>";
echo "✓".stripslashes($row['komm']);
echo "<hr>";
echo '</p>';
}
?>
А можно id документа просто писать в сессию. И при отправке формы брать id из сессии, а не из POST'а. Логично, перед записью в БД надо проверять наличие и доступность документа для пользователя.