网站如何判断用户是否在URL中插入了自己的值

Question

我很好奇，因为我希望自己能够在自己的网站上进行检查，因为我目前正在设计中。 一个例子是：

www.somesite.com/product.php?id=1356

使用Facebook时，用户可以对其进行更改，并获得与此ID相关联的用户。 但是在其他网站（特别是电子商务网站）中，当我对其进行更改时，它要么失败，要么转到主页。

Answer 1

无法查看用户是否进行了更改。 这是安全编码的一部分。 从服务器的角度来看，您需要验证所有输入，并验证当前用户实际上应该有权访问他们所请求的资源。

有关更多其他详细信息和示例，请参见https://www.owasp.org/index.php/Top_10_2010-A4 。

Facebook似乎仅允许您使用此示例，因为您尝试访问的用户个人资料ID可能是您公开的。 但是，您将无权访问所有其他用户配置文件-只有您有权访问的用户配置文件。 如果您尝试访问我的Facebook个人资料ID，也会在此处看到您的访问被拒绝。

由于这是标记为电子商务，你也应该知道的PCI DSS ，如果你是不是已经-在6.5.4：“不安全的直接对象引用”专门适用于这种情况。

Answer 2

使用Facebook时，用户可以对其进行更改，并获得与此ID相关联的用户。 但是在其他网站（特别是电子商务网站）中，当我对其进行更改时，它要么失败，要么转到主页。

Facebook做同样的事情。

https://www.facebook.com/profile.php?id=102934810293841029348转到标题为“ Profile Unavailable”的错误页面，因为该ID不存在。

您可能只是将其更改为不存在的ID。

Answer 3

通过$ _GET方法（或$ _REQUEST）起作用...

您可以更改某些站点ID（或其他任何作为URL的参数）的原因之所以起作用，是因为他们将其编程为具有这种行为。 它实际上取决于在后台如何使用此url参数。 例如，在product.php中，您将具有以下内容：

if(isset($_GET['id']) {
  $id = $_GET['id'];
  $id = filterid(id)..... and so ...

  // Maybe check for id and redirect if id is not ok
  // Maybe check for id and some additional secrete parameter ...?

  // What is the id? What kind of behavior you want?
}

您在不同网站上具有不同行为的原因-取决于url参数（在这种情况下为“ id”）-是因为在不同情况下实现了不同的行为...

由于安全性，其中一些实施严格检查（尤其是对id的检查）！ 例如，如果您有页面，并且知道ID必须是一个数字，并且知道数据库中的最大ID例如为15000，则可以编写如下内容。...

if(isset($_GET['id'] && strlen($_GET['id']) <= 5 && isNumeric($_GET['id']) {
       //if everything is ok you can execute your code here
}
else {
      $id = 1; //if someone try to put something else in id, you will simply redirect him on first id(firs product)
}

那只是行为的一个例子。 现在考虑还能做什么？ 你想让我做什么？ 您希望它如何表现？ 您将执行哪种行为-取决于URL中参数的完全取决于您。 用户可以通过单击预定义的链接来跟踪Web应用程序上的逻辑-或者可以使用url随意操作。 您没有可能检查此。 您所能做的就是正确验证所有输入（无论它们来自URL还是某种后期请求）