0

Здравствуйте!

Предположим, есть страница, на которой выводится список пользователей и напротив каждого пользователя есть кнопка "добавить в друзья" или "заблокировать". Логично, чтобы отследить для какого пользователя была нажата кнопка, её можно разместить вместе с input полем с типом hidden с значением равным id пользователя в базе.

<form method="post">
  <input name="user_id" type="hidden" value="22">
  <input name="add_friend" type="submit" value="Добавить в друзья">
</form>

Собственно в таком типе реализации меня мучает следующий вопрос: в отладчике видно все скрытые поля и их значения и пользователю ничего не мешает в hidden-input вставить значение не 22, а, допустим, 100 и таким образом на сервер действительно придет значение user_id = 100, а не 22, напротив которого кнопка была нажата. Получается, что пользователь может таким образом добавить в друзья того, кто даже не прислал ему запрос.

Понятное дело, что должны быть проверки на то, действительно ли был отправлен запрос и т.д. но все же можно как-то избежать или не допустить подмены значения в hidden поле или же есть более лучшее решение для реализации подобного механизма?

Заранее благодарю за ответ!

1
  • 2
    Нельзя доверять никаким данным пришедшим с клиента. Вы в любом случае должны делать все (окончательные) проверки на сервере.
    – user176262
    16 мар 2018 в 13:02

1 ответ 1

1

Hidden поля в html не предназначены для хранения защищенных данных. Их основное предназначение - отправка дополнительных атрибутов при отправке формы с последующей проверкой на сервере, чтобы они не мешали пользователю при заполнении формы.

Таким образом, нельзя полагаться на защищенность данных ни при каких обстоятельствах, если эти данные хранятся на клиенте.

В вашем случае в любом случае необходима проверка на сервере, что добавляемый в друзья пользователь ранее присылал запрос.

3
  • Выходит самый оптимальный вариант, просто проверять входящие данные на сервере?
    – krown_loki
    17 мар 2018 в 10:03
  • @krown_loki на сервере несомненно должны проводиться все необходимые проверки, но для удобства пользователя также реализуют дополнительные проверки на клиенте. 17 мар 2018 в 17:05
  • Спасибо большое!
    – krown_loki
    18 мар 2018 в 17:34

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.