Здравствуйте!
Предположим, есть страница, на которой выводится список пользователей и напротив каждого пользователя есть кнопка "добавить в друзья" или "заблокировать". Логично, чтобы отследить для какого пользователя была нажата кнопка, её можно разместить вместе с input полем с типом hidden с значением равным id пользователя в базе.
<form method="post">
<input name="user_id" type="hidden" value="22">
<input name="add_friend" type="submit" value="Добавить в друзья">
</form>
Собственно в таком типе реализации меня мучает следующий вопрос: в отладчике видно все скрытые поля и их значения и пользователю ничего не мешает в hidden-input вставить значение не 22, а, допустим, 100 и таким образом на сервер действительно придет значение user_id = 100, а не 22, напротив которого кнопка была нажата. Получается, что пользователь может таким образом добавить в друзья того, кто даже не прислал ему запрос.
Понятное дело, что должны быть проверки на то, действительно ли был отправлен запрос и т.д. но все же можно как-то избежать или не допустить подмены значения в hidden поле или же есть более лучшее решение для реализации подобного механизма?
Заранее благодарю за ответ!