如何让$ _GET更安全。

Question

我正在使用get方法执行一些操作，例如，批准，markasspam，删除，用于评论系统。 我知道走这条路是非常不安全但我无法帮助它。 因为使用$ _GET方法的原因是使用PHP_SELF在页面本身内执行操作，而FYI我也使用post方法使用复选框来执行操作。

现在为了让它有点安全我想随机化数字或生成哈希或其他东西，然后比较它，获取id并执行操作

我目前的代码有点像这样。

<?php 
if($approve == 1 ) 
{ 
    ?>
    <a href="<?php echo $_SERVER['PHP_SELF']."?approve=".$id; ?>">Unapprove</a>
    <?php 
} else 
{ 
    ?> 
    <a href="<?php echo $_SERVER['PHP_SELF']."?unapprove=".$id; ?>">Approve</a>
    <?php 
}
?> 
| <a href="<?php echo $_SERVER['PHP_SELF']."?spam=".$id; ?>">Spam</a> 
| <a class="edit-comments" href="edit-comments.php?id=<?php echo $id; ?>">Edit</a> 
| <a href="<?php echo $_SERVER['PHP_SELF']."?delete=".$id; ?>">Delete</a>

我用这个代码执行操作..

if(isset($_GET['approve'])) {
    $id = intval($_GET['approve']);
    $query = "UPDATE comments SET approve = '0' WHERE id = '$id'";
    $result = mysql_query($query);
}

if(isset($_GET['unapprove'])) {
    $id = intval($_GET['unapprove']);
    $query = "UPDATE comments SET approve = '1' WHERE id = '$id'";
    $result = mysql_query($query);
}

if(isset($_GET['delete'])) {
    $id = intval($_GET['delete']);
    $query = "DELETE FROM comments WHERE id = '$id'";
    $result = mysql_query($query);
}

if(isset($_GET['spam'])) {
    $id = intval($_GET['spam']);
    $query = "UPDATE comments SET spam = '1' WHERE id = '$id'";
    $result = mysql_query($query);
}

而不是使用批准或不批准或删除或垃圾邮件，我想随机化或散列该单词，并希望它尽可能冗长，然后执行操作。

我该怎么做？ 你对此有什么看法？

编辑：请注意只有经过身份验证的用户即管理员才能执行此操作。 即使它通过身份验证系统我想为管理员添加更多的安全性。 避免实验或意外

代码并不准确只是让你理解我想要实现的样本。

Answer 1

在这里使用GET或POST参数并不重要 - 脚本首先需要的是某种身份验证。 （完成之后，您可以进入安全性详细信息，其中GET的安全性略低于POST - 请参阅注释以获取详细信息。）

我会说你有两个选择：

• 使用.htaccess保护整个脚本 - 脚本本身不需要进行任何更改

• 引入PHP侧用户身份验证并仅在登录用户发出请求时执行操作。 需要对脚本进行根本性更改，但最灵活。

重新编辑：

事实证明您的脚本已受到保护。 在这种情况下，我假设您对URL中出现的增量ID号，在浏览器中缓存等等感到不舒服。通常的解决方案是为每个注释创建一个随机密钥（除了增量ID）。 该密钥存储在一个单独的列中（不要忘记添加索引），并且您将与之匹配。

更进一步的步骤是为每个动作创建临时哈希，这是对一些外部攻击的最终保护。

关于使用一次性哈希的编辑：

我从来没有在管理界面中实现一次性哈希，所以我没有这方面的经验，但我想一个非常简单的实现会将动作哈希存储在一个单独的表中，包括hash ， record和action 。 每当您的工具列出许多记录并输出“删除/批准/取消批准”链接时，它将在哈希表中为每个注释生成三条记录：一条用于删除，一条用于批准，一条用于未批准。 然后，“删除/批准/取消批准”链接将获取正确的散列作为唯一参数，而不是记录ID和命令。

为未使用的哈希添加超时功能（加上删除实际使用的任何哈希），您就完成了。

Answer 2

你可以这样做， $_GET不是代码中不安全的东西。 不安全来自于您没有检查用户是否被授权删除评论。

在您当前的代码中，任何人都可以随时随地删除任何内容。

如果你有一个包装代码，可以确保如果你在enter good reason here正当enter good reason here就不会执行if-statements postet，那么它没关系。

但是你应该尝试验证，参数的内容实际上是整数，而不仅仅是int_val'ing它们并直接在数据库上使用它们。

在你的编辑

你应该检查你的参数是否真的是一个int。 intval("test")也将返回一个整数，大多数为0。

您可以考虑使用正则表达式来验证字符串只包含数字： preg_match('/[0-9]+/', $_GET['id']);

如果是，您可以执行操作。

Answer 3

您不应将GET用于任何更改服务器上数据的操作。 决不。 您只能使用它来获取数据。

如果你不能使用表单操作按钮（因为它们之外还有另一种形式），你应该考虑这个设计：

• 您使用AJAX对服务器执行POST请求
• 在禁用javascript的环境中，您可以使用GET链接，例如user.php？action = delete，它会在单独的页面上显示非常简单的表单。 表单中的标题询问：“您确定要删除用户X吗？” 它有两个按钮：1）“是” - 向操作脚本提交POST请求，2）“否” - 将用户返回到他曾经去过的页面